51217175ad
Module banking complet en lecture seule via Powens (ex-Budget Insight)
pour détecter automatiquement les paiements clients et arrêter les
relances dès qu'une facture est payée. Réservé plans Pro / Business,
kill switch global BANKING_ENABLED désactivé en prod tant que le KYC
Powens n'est pas validé (cf. .claude/deploy-memory.md).
Backend (apps/api)
- PowensClient bas niveau : init user, code temporaire 30s, build
webview URL, list/get/delete connections, accounts, transactions,
vérif HMAC SHA-256 timing-safe pour webhook.
- BankingService : ensurePowensUser (chiffrement token via Adonis
encryption / APP_KEY), createWebviewUrl avec state HMAC anti-CSRF
(TTL 10 min), handleCallback (upsert connection + accounts +
fire-and-forget mail + sync 90j + reconcile), disconnect (DELETE
Powens + soft-revoke en DB), setReconciliationMode.
- Réconciliation : match transactions ↔ factures sur montant exact
+ label normalisé (numero ou nom client, NFD strip + alphanum).
Confiance HIGH (label matche) vs LOW (montant seul). Mode auto +
HIGH → invoice.status=paid + bonus rubis + cancel relances +
enqueuePaymentThanks (client) + sendInvoiceAutoPaidNotification
(user). Mode manual ou LOW → match_status='suggested' (UI V2).
- Webhook /webhooks/powens : vérif HMAC, lookup org par
powens_user_id, dispatch CONNECTION_SYNCED / NEW_TRANSACTIONS /
USER_SYNC_ENDED → sync incrémental 7j + reconcile, CONNECTION_ERROR
/ SCA_REQUIRED → update state + last_error. Réponse 200 immédiate
puis processing fire-and-forget pour ne pas timeout côté Powens.
- 4 migrations : bank_connections, bank_accounts, bank_transactions
+ colonnes powens_user_id (chiffré APP_KEY) et reconciliation_mode
sur organizations.
- 2 templates React Email : BankConnectedEmail (post-connection,
récap comptes + lien settings) et InvoiceAutoPaidNotificationEmail
(notif user après match auto, lien direct facture + libellé
bancaire détecté). Toujours en branding Rubis (notif Rubis → user,
jamais marque blanche).
- 2 commandes ace : banking:reconcile (rejoue le reconcile sans
reconnecter la banque) et banking:simulate-payment (injecte une
bank_transaction synthétique qui matche une facture, pour test E2E
sans devoir attendre un vrai virement sandbox).
- Kill switch isBankingEnabled() : flag BANKING_ENABLED + check des
credentials Powens. Endpoint public GET /banking/status renvoie
{ enabled }, /banking/powens/init throw 503 banking_disabled si OFF.
- Fix handler exceptions : UNIQUE violation composite (org, X)
rapporte désormais la vraie colonne en faute (numero/slug/…) avec
message lisible « Le numéro de facture "F2026-0013" existe déjà »,
au lieu d'un message ambigu sur organization_id.
Frontend (apps/web)
- /parametres : nouvelle SettingsSection "Banque" gated par kill
switch + plan Pro/Business. Si Free → upsell card avec CTA vers
/parametres/abonnement. Si Pro/Business sans banque → CTA "Connecter
une banque". Si banque connectée → carte avec accounts (IBAN
masqué FR76 **** **** **** 1234), solde, last sync, bouton
Déconnecter. Toggle Manuel/Auto pour reconciliation_mode.
- /parametres/banque/success : nouvelle route dédiée post-callback
avec badge ✓ animé + halo glow rubis, récap des comptes
synchronisés, 2 CTAs ("Voir mes paramètres" / "Retour dashboard"),
note sécurité "lecture seule, aucun déplacement de fonds".
- Hooks : useBankingStatus, useBankConnections (avec opt-out via
{ enabled }), useInitBanking, useDisconnectBank, useBankingSettings,
useUpdateBankingSettings.
Infrastructure (k3s)
- ConfigMap rubis-api-config : BANKING_ENABLED='false' par défaut,
BANKING_PROVIDER='powens', POWENS_DOMAIN='rubis',
POWENS_API_BASE_URL='https://rubis.biapi.pro/2.0/',
POWENS_REDIRECT_URI='https://app.rubis.pro/api/v1/banking/powens/callback'.
- Secret rubis-app-secrets : 3 nouvelles clés POWENS_CLIENT_ID,
POWENS_CLIENT_SECRET, POWENS_WEBHOOK_SECRET (valeurs sandbox posées
via kubectl patch, à remplacer post-KYC).
Sécurité
- Token Powens chiffré au repos via Adonis encryption (AES-256-GCM,
clé APP_KEY).
- State HMAC SHA-256 signé sur APP_KEY pour le flow webview
(anti-CSRF + porte l'org_id à travers le redirect).
- Webhook HMAC SHA-256 sur header BI-Signature avec
POWENS_WEBHOOK_SECRET, comparaison timing-safe.
- IBAN masqué côté API (transformer).
- Scope par org sur tous les endpoints (anti-IDOR).
- Rate limiting via le middleware Adonis existant.
- Idempotence DB : UNIQUE (org, powens_connection_id), (connection,
powens_account_id), (account, powens_id) → rejouer un event ou un
callback ne pose pas de problème.
Documentation
- /docs/tech/banking-setup.md : procédure complète setup dev avec
Cloudflare Quick Tunnel, compte sandbox Powens, whitelist URLs.
- /.claude/deploy-memory.md : section "Banking (Powens) — activation
prod" avec procédure en 6 étapes (KYC → secrets → ConfigMap →
flip flag → smoke test), snippet kubectl patch pour rotation
ciblée de secrets.
Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>
137 lines
5.1 KiB
Plaintext
137 lines
5.1 KiB
Plaintext
# Node
|
|
TZ=UTC
|
|
PORT=3333
|
|
HOST=0.0.0.0
|
|
NODE_ENV=development
|
|
|
|
# App
|
|
LOG_LEVEL=info
|
|
APP_KEY=
|
|
# APP_URL est l'URL publique (utilisée dans les emails check-in/relance,
|
|
# les redirects, etc.). Volontairement découplée de HOST : on bind sur
|
|
# 0.0.0.0 mais on expose `localhost` (en dev) ou le vrai domaine (en prod).
|
|
APP_URL=http://localhost:3333
|
|
|
|
# Session
|
|
SESSION_DRIVER=cookie
|
|
|
|
#--------------------------------------------------------------------
|
|
# CORS (configure allowed origins for API access)
|
|
#--------------------------------------------------------------------
|
|
# CORS_ORIGIN=http://localhost:5173,http://localhost:3000
|
|
|
|
#--------------------------------------------------------------------
|
|
# Database (Postgres via docker-compose.dev.yml)
|
|
#--------------------------------------------------------------------
|
|
DB_CONNECTION=postgres
|
|
PG_HOST=localhost
|
|
PG_PORT=5433
|
|
PG_USER=rubis
|
|
PG_PASSWORD=rubis
|
|
PG_DB_NAME=rubis_dev
|
|
|
|
#--------------------------------------------------------------------
|
|
# Redis (BullMQ + cache)
|
|
#--------------------------------------------------------------------
|
|
REDIS_HOST=localhost
|
|
REDIS_PORT=6380
|
|
REDIS_PASSWORD=
|
|
|
|
#--------------------------------------------------------------------
|
|
# Storage (MinIO via S3 driver)
|
|
#--------------------------------------------------------------------
|
|
DRIVE_DISK=s3
|
|
S3_ENDPOINT=http://localhost:9100
|
|
S3_REGION=fr-par
|
|
S3_BUCKET=rubis-invoices
|
|
S3_ACCESS_KEY=rubis
|
|
S3_SECRET_KEY=rubis-dev-secret
|
|
S3_FORCE_PATH_STYLE=true
|
|
|
|
#--------------------------------------------------------------------
|
|
# Mail (Resend par défaut, Mailpit en fallback dev via MAIL_DRIVER=smtp)
|
|
#--------------------------------------------------------------------
|
|
MAIL_FROM_ADDRESS=rubis@arthurbarre.fr
|
|
MAIL_FROM_NAME=Rubis sur l'ongle
|
|
MAIL_DRIVER=resend
|
|
RESEND_API_KEY=
|
|
# Fallback Mailpit (si MAIL_DRIVER=smtp)
|
|
SMTP_HOST=localhost
|
|
SMTP_PORT=1025
|
|
|
|
#--------------------------------------------------------------------
|
|
# OCR (Mistral)
|
|
#--------------------------------------------------------------------
|
|
OCR_PROVIDER=mistral
|
|
MISTRAL_API_KEY=
|
|
|
|
#--------------------------------------------------------------------
|
|
# Web (URL du SPA, utilisée pour les redirects post-checkin)
|
|
#--------------------------------------------------------------------
|
|
WEB_URL=http://localhost:5173
|
|
|
|
#--------------------------------------------------------------------
|
|
# Landing publique — lien dans le footer des emails ("Rubis sur l'ongle"
|
|
# pointe vers ce domaine).
|
|
#--------------------------------------------------------------------
|
|
LANDING_URL=https://rubis.pro
|
|
|
|
#--------------------------------------------------------------------
|
|
# Auth (refresh tokens)
|
|
#--------------------------------------------------------------------
|
|
ACCESS_TOKEN_TTL_MINUTES=30
|
|
REFRESH_TOKEN_TTL_DAYS=30
|
|
COOKIE_DOMAIN=
|
|
COOKIE_SECURE=false
|
|
|
|
#--------------------------------------------------------------------
|
|
# Google SSO (Ally) — créer un OAuth Client ID web sur Google Cloud
|
|
# Console, puis ajouter les redirect URIs :
|
|
# - http://localhost:3333/api/v1/auth/google/callback (dev)
|
|
# - https://app.rubis.pro/api/v1/auth/google/callback (prod)
|
|
#--------------------------------------------------------------------
|
|
GOOGLE_CLIENT_ID=
|
|
GOOGLE_CLIENT_SECRET=
|
|
GOOGLE_CALLBACK_URL=http://localhost:3333/api/v1/auth/google/callback
|
|
|
|
#--------------------------------------------------------------------
|
|
# Microsoft SSO (Ally) — App registration sur https://portal.azure.com
|
|
# (Microsoft Entra ID → App registrations → New registration → Web),
|
|
# redirect URIs à enregistrer :
|
|
# - http://localhost:3333/api/v1/auth/microsoft/callback (dev)
|
|
# - https://app.rubis.pro/api/v1/auth/microsoft/callback (prod)
|
|
# Tenant : 'common' (work + perso), 'organizations' (M365 only) ou un GUID.
|
|
#--------------------------------------------------------------------
|
|
MICROSOFT_CLIENT_ID=
|
|
MICROSOFT_CLIENT_SECRET=
|
|
MICROSOFT_TENANT=common
|
|
MICROSOFT_CALLBACK_URL=http://localhost:3333/api/v1/auth/microsoft/callback
|
|
|
|
LIMITER_STORE=redis
|
|
|
|
#--------------------------------------------------------------------
|
|
# Banking — agrégation bancaire (AISP, lecture seule)
|
|
#--------------------------------------------------------------------
|
|
# Setup complet : /docs/tech/banking-setup.md
|
|
#
|
|
# 1. Créer un compte sur https://console.powens.com/ + demander un
|
|
# domaine sandbox (gratuit). Récupérer client_id / client_secret.
|
|
# 2. Whitelister les redirect_uri dans la console Powens :
|
|
# - https://<tunnel>.trycloudflare.com/api/v1/banking/powens/callback (dev)
|
|
# - https://app.rubis.pro/api/v1/banking/powens/callback (prod)
|
|
# 3. En dev : lancer `cloudflared tunnel --url http://localhost:3333`
|
|
# et coller l'URL dans POWENS_REDIRECT_URI.
|
|
#
|
|
# POWENS_DOMAIN = slug du domaine (ex : 'rubis-sandbox').
|
|
# POWENS_API_BASE_URL = override optionnel ; sinon calculée comme
|
|
# https://<POWENS_DOMAIN>.biapi.pro/2.0/.
|
|
#--------------------------------------------------------------------
|
|
BANKING_ENABLED=true
|
|
BANKING_PROVIDER=powens
|
|
POWENS_DOMAIN=
|
|
POWENS_API_BASE_URL=
|
|
POWENS_CLIENT_ID=
|
|
POWENS_CLIENT_SECRET=
|
|
POWENS_REDIRECT_URI=https://CHANGEME.trycloudflare.com/api/v1/banking/powens/callback
|
|
POWENS_WEBHOOK_SECRET=
|