Lecture seule, jamais cloné,
et aucun token dans la base de données.

Une balise <script> dans le README de quelqu’un s’exécuterait sinon sur notre origine, avec la session du lecteur. Chaque document est assaini côté serveur selon une liste autorisée avant d’être stocké en HTML — pas filtré au moment du rendu, où un seul chemin qui oublie est un chemin qui livre une faille.

Le Markdown brut reste la source de vérité. Le HTML rendu n’est qu’un cache, indexé par le hash du contenu et une version du moteur de rendu : durcir le moteur invalide tout d’un coup et rien n’a besoin d’être migré.

Un seul appel d’API renvoie la structure des dossiers plus un hash de contenu par fichier. Pas de binaire git, pas de copie de travail, rien d’écrit sur disque. Seuls les blobs Markdown sont récupérés, et uniquement dans la racine de la documentation — un fichier source est un nom que nous pouvons voir dans un chemin, jamais un contenu que nous récupérons.

Les images d’un repository privé passent par un proxy authentifié au lieu d’être liées directement, donc elles se chargent pour les personnes autorisées à les voir et pour personne d’autre.

Une session OAuth porte le token GitHub de l’utilisateur, donc un cookie simplement signé serait lisible. Les cookies sont chiffrés ; les mots de passe sont hachés avec Argon2 derrière un port, jamais avec une bibliothèque dont Python a retiré la dépendance.

La révocation est réelle et non nominale. Chaque requête authentifiée compare une époque sur la ligne du compte, ce qui est le prix honnête du retrait d’un identifiant porteur de sa propre validité — un cookie déchiffré n’est pas un cookie authentifié. Déconnecter tous les appareils est une seule action, et déconnecter GitHub invalide les sessions qui portaient son token au lieu de les laisser fonctionner jusqu’à expiration.

Il existe une liste des sessions : une étiquette de plateforme approximative et une adresse tronquée à un /24. Pas de ville, pas de pays, et aucune supposition sur le caractère inhabituel d’une connexion — il faudrait une base de géolocalisation ou un modèle de l’habituel, et inventer l’un ou l’autre, c’est ainsi qu’une liste d’appareils se met à signaler des incidents qui n’ont jamais eu lieu.

Rejoindre une organisation ne donne accès à aucun document. Un membre lit un projet grâce à un accès d’équipe ou à un accès direct ; quelqu’un sans équipe ni accès ne lit rien du tout. Aucun réglage de visibilité ne donne discrètement accès à tout le monde.

L’accès se résout côté serveur, dans la seule requête par laquelle passe déjà chaque route de lecture. Un repository auquel vous avez perdu l’accès répond 404 — exactement comme un repository qui n’a jamais existé, donc la réponse ne permet pas d’apprendre ce qui existe.

Aucune comparaison de rôles n’a lieu en TypeScript. Même les réponses ligne par ligne « cette personne peut-elle être retirée » affichées sur l’écran des membres sont calculées sur le serveur, donc aucune copie de la hiérarchie n’atteint le client pour y diverger.

Un hôte GitLab autogéré est une URL qu’un client saisit et que le serveur va ensuite chercher, ce qui est une primitive SSRF. Les vérifications sont des prédicats purs : https uniquement, chaque adresse résolue confrontée aux plages privées, de bouclage, link-local et réservées, et les redirections refusées d’emblée plutôt que suivies puis revérifiées.

L’ordre d’un webhook est fixe et jamais réarrangé : corps brut, puis signature comparée en temps constant, puis analyse. Lire un payload avant de le vérifier, c’est analyser ce qu’un inconnu a envoyé.

L’adresse du client relève de la configuration, pas d’un en-tête. Par défaut, les en-têtes transmis sont entièrement ignorés ; quand les proxys sont comptés, l’adresse est prise du côté qu’un appelant ne peut pas étendre en ajoutant des valeurs en tête.

Une clé peut porter un état de relecture minimal, et les documents en dessous répondent 404 à chaque porte — routes de lecture comprises, car un seuil qui s’arrête à une surface est un seuil avec une seconde porte d’entrée. Il vit sur l’identifiant plutôt que dans un argument d’outil : un filtre que l’agent transmet est un filtre qu’on peut l’inciter, par prompt, à ne plus transmettre.

Aucun outil de cette surface ne modifie un document du repository, ne ferme la note d’un relecteur, ne supprime un artifact, ni ne pose une question libre à un modèle. Ce sont des absences, pas des réglages — aucun drapeau qu’un administrateur pourrait accorder, et c’est tout l’intérêt.

C’est le seul chemin sortant qui transporte du contenu client, et l’interrupteur est désactivé par défaut — l’activer par défaut aurait fait envoyer des documents à un tiers par chaque organisation existante, simplement parce qu’un déploiement a eu lieu. Son activation est inscrite au journal d’audit.

Un document vide ne déclenche aucun appel : demander à un modèle de ne rien inventer est une requête, alors que ne pas l’appeler est une garantie. Un fournisseur nommé sans sa clé refuse au lieu de renvoyer un texte factice, car un résumé inventé stocké contre un vrai contenu est servi comme vrai jusqu’à ce que ce contenu change.

Jamais après le commit, jamais au mieux, jamais depuis une tâche de fond. Si le changement est annulé, l’enregistrement part avec lui, et si l’enregistrement ne peut pas être écrit, le changement n’a pas lieu. Le nom de l’auteur et le libellé du sujet sont copiés sur la ligne, car une équipe supprimée doit encore se lire comme l’équipe qu’elle était.

Le journal est filtrable et exportable, et conservé pendant la durée fixée par votre plan. Rien ne peut en supprimer une seule ligne — un appelant capable de retirer une ligne est capable de retirer la plus intéressante.