v7.99.2729 septembre 2026

Ce qu’un seizième jury a trouvé, et qui est fermé

Une clé d’API révoquée depuis l’administration continuait d’authentifier : la révocation est honorée à la lecture de la clé.
Trois fuites entre cabinets bornées, et une escalade de privilège fermée.
Le chiffrement du lien SMTP est vérifié plutôt que supposé.
Une note de frais validée n’est plus retouchable ; le chef de mission valide les notes de son équipe, jamais la sienne.

v7.99.2629 septembre 2026

Les courriels d’abord, le FEC par un seul écrivain

Les vingt-quatre points d’envoi de courriel relus un par un : aucune adresse d’essai acceptée, partie texte réellement convertie depuis le HTML, aucun mot de passe ni IBAN dans un corps de message.
La promesse « valable 24 heures » des invitations est remplacée par l’échéance réelle, lue dans la base ; quand le lien est un lien magique, aucune durée n’est promise.
Un seul écrivain de FEC côté serveur : la date de pièce est la vraie, le compte auxiliaire reste vide quand il n’y en a pas, et un fichier incomplet est refusé en nommant les colonnes qui manquent.
Les justificatifs de notes de frais quittent la ligne de base pour un seau privé, derrière une route unique ; le RIB du cabinet est chiffré et n’est jamais rendu en clair au navigateur.
Le relevé de scellement porte enfin la preuve de son envoi — parti ou non, chez combien de destinataires, quand — et dit « je ne sais pas » avec sa raison quand il ne sait pas.
Cinquante-cinq textes d’interface manquaient dans les trois dictionnaires : l’écran affichait le nom technique de la clé. Ils sont posés en français, anglais et espagnol.
La référence déontologique imprimée sur chaque pièce remise citait le mauvais alinéa de l’ordonnance de 1945 : corrigée à la source, dans le référentiel qui la porte, et partout où elle était reprise.
Migrations 109 et 110 appliquées en production le 29 septembre à 16:32 et 16:33 UTC.

v7.99.2525 au 29 septembre 2026

La porte du second facteur ferme vraiment, les pièces sortent scellées

Le second facteur obligatoire était réglable et n’a jamais fermé la porte en production : le réglage est désormais lu côté serveur, sur un jeton vérifié, jamais sur le cookie. Le fait est déclaré, daté, sur /trust/incidents.
Chaque pièce qui sort du cabinet porte l’empreinte SHA-256 de ses octets, signée en Ed25519 par la clé de la chaîne du journal ; sans clé configurée, la pièce le dit au lieu de sortir muette.
Les pièces rédigées par le modèle sortent à l’état de projet tant qu’aucune décision de remise n’existe.
La récupération de mot de passe n’ouvre plus la voie sans mot de passe actuel hors d’un lien reçu par courriel récent ; un compte à second facteur doit le présenter même en récupération.
Une colonne absente répond « schéma en attente » et le dit à l’écran, au lieu d’une erreur avalée.
/status ne montre plus de taux de disponibilité : aucune mesure n’existe, et la page l’écrit.
Migration 108 appliquée en production le 25 septembre à 22:30 UTC, après douze heures et quarante minutes d’indisponibilité du point d’accès direct chez l’hébergeur de la base.

v7.99.22 → v7.99.2425 septembre 2026

Le jeton de session est vérifié, plus aucun cabinet « par défaut »

Le niveau d’assurance de la session était lu dans un jeton non vérifié : la signature est désormais contrôlée, et tout ce que la décision consomme vient du jeton vérifié.
Une seule règle de mot de passe, celle de la CNIL, appliquée côté serveur avant l’enregistrement et affichée en direct pendant la saisie.
Six pièces qui sortaient sans bloc de signature le portent : cabinet, signataire, numéro d’inscription, date.
Trente-neuf routes de plus journalisent leurs écritures et leurs appels au modèle, avec le cabinet lu côté serveur.
La page d’invitation affiche l’échéance, exige prénom et nom, et oppose la règle du mot de passe avant le clic.
Le logo du cabinet est servi par une route dédiée : la clé publique du navigateur ne peut plus énumérer la liste des cabinets.

v7.99.17 → v7.99.2125 septembre 2026

Fermeture des politiques d’accès ouvertes, et un gardien qui les surveille

Cinquante-cinq politiques d’accès sans filtre étaient posées sur la base de production : elles sont supprimées, la protection par ligne est active, et le rôle du navigateur n’a plus que les droits que ses requêtes justifient. Les faits sont publiés, datés, sur /trust/incidents — y compris ce que Kontia ne sait pas.
Un contrôle automatique quotidien lit l’état réel de la base et le confronte à un contrat écrit ; son dernier passage est publié par /api/health.
La politique de sécurité du contenu passe par un jeton à usage unique : plus d’évaluation de code arbitraire, et la liste des hôtes autorisés porte la raison de chacun.
Les invitations passent par des routes serveur et un jeton haché ; le parcours fondateur → premier administrateur → collaborateurs existe enfin.
La purge d’un cabinet fonctionne réellement.

v7.99.11 → v7.99.1624 et 25 septembre 2026

Le journal se recalcule, la vitrine ne dit plus de chiffre inventé

La chaîne d’empreintes du journal d’audit est recalculable par le cabinet et par son commissaire aux comptes, avec un vérificateur livré dans le dépôt.
Un travail ne sort au nom d’un professionnel que si son profil le déclare inscrit au Tableau ; sinon la pièce ne sort qu’à l’état de projet.
Les chiffres de la page d’accueil viennent d’un registre de mesures daté : plus aucun chiffre écrit à la main, et un test fait échouer le build s’il en revient un.
Le jeton remis à un tiers est borné au dossier et à l’écran qu’il ouvre.
La lettre de mission et le référentiel déontologique citent leurs articles depuis une source unique, vérifiée.

v7.99.7 → v7.99.1024 septembre 2026

Le journal est chaîné et scellé, les livrables portent leur empreinte

Chaque ligne du journal d’audit est chaînée à la précédente et scellée par une tâche planifiée : toute modification rompt la chaîne, et un tiers peut le constater.
Chaque livrable porte l’empreinte de ce qui l’a produit et l’identité de son signataire.
Les entrées d’un calcul sont conservées et restituables : un chiffre peut être refait, pas seulement relu.
La TVA sur les encaissements et les coûts au dossier entrent dans les moteurs ; le plafond de consommation est compté par siège.
La liste des sous-traitants publiée dans le DPA est dérivée du code, plus retapée à la main.

v7.99.1 → v7.99.624 septembre 2026

La trace persiste, la responsabilité sort de l’écran

Un dossier de preuve par client rassemble exports, contrôles et décisions, avec leur index.
Les exports de CA3 et de rapprochement sont verrouillés côté serveur et signés ; les documents Word le sont aussi.
Les générateurs de documents passent sous garde : aucun appel au modèle sans dossier désigné.
Le journal d’audit est cloisonné par cabinet et lisible par son administrateur.
Quota de consommation posé sur soixante routes, rétention des données appliquée, parseur FEC durci.
Arrêté mensuel remis au client, sous la politique unique des livrables.

v7.99.024 septembre 2026

Pennylane de premier rang, portail client aux vraies échéances

Client Pennylane aligné sur l’API 2026 : en-tête X-Use-2026-API-Changes, pagination par curseur, objets journal et ledger_account.
Débit respecté (25 requêtes par 5 secondes et par jeton) : attente avant saturation, lecture de retry-after sur un 429, une seule nouvelle tentative.
Relevés bancaires Pennylane repris par GET /transactions et versés au rapprochement.
Portail client : les échéances ne sont plus une liste statique, elles sont calculées depuis le régime fiscal, le régime de TVA et la clôture de la fiche.
Facture PDF : le taux de TVA n’est plus écrit en dur, il vient de la facture.

v7.98.2 → v7.98.324 septembre 2026

Kontia ouvre cabinet par cabinet

Inscription publique fermée : l’accès se fait sur invitation, avec un code remis au premier administrateur du cabinet.
Chaque création de cabinet déclenche une notification interne (qui, quand, d’où).
Message d’accueil du chat rendu discret pour laisser la place à la saisie.

v7.98.0 → v7.98.124 septembre 2026

Les contrôles de la nuit

Nouvelle tâche planifiée à 01:00 UTC : pour chaque dossier relié à ACD ou Pennylane, les écritures de l’exercice sont chargées et contrôlées, sans intervention.
« Ma journée » ouvre sur une section « Contrôlés cette nuit » : dossiers contrôlés, nouvelles anomalies critiques, erreurs. La section reste absente tant qu’aucun dossier n’est relié.
Le cockpit de chaque dossier porte une carte « Contrôles de nuit » (dernier contrôle, score, nuits précédentes).
L’e-mail quotidien de 07:00 UTC reprend le bilan de la nuit par cabinet.

v7.97.124 septembre 2026

La clé Anthropic du cabinet sert enfin, et le chat dit ce qui part au modèle

La clé Anthropic saisie dans Paramètres → Clés API est désormais lue par le chat et les commentaires ; à défaut, la clé de la plateforme est utilisée.
Sous le champ de saisie, le chat indique que les messages sont traités par Claude (Anthropic) et ne servent pas à entraîner les modèles.
Quand un dossier est actif, le chat annonce que son identité, ses échéances et ses chiffres clés sont transmis au modèle avec la question.

v7.97.024 septembre 2026

Plus aucun dossier de démonstration, échéances aux dates légales

Sans identifiants, les connecteurs ACD et MEG répondent « non configuré » au lieu de servir des cabinets, des balances et des alertes inventés.
Échéances fiscales par dossier remises aux dates légales : liasse au 2e jour ouvré suivant le 1er mai pour une clôture au 31 décembre, tolérance des téléprocédures comprise.
Chaque module annonce qui produit ses chiffres : calculé par un moteur, mixte (moteur puis commentaire), ou produit par l’IA.

v7.96.024 septembre 2026

Un seul moteur IFI

Le simulateur IFI ne recopie plus le barème : il appelle le moteur commun, et le serveur recalcule le résultat avant tout commentaire.
Le tableau distingue le passif déclaré du passif non déductible (article 974 du CGI) et liste ses hypothèses.

v7.95.0 → v7.95.121 septembre 2026

Cinq constats bloquants, et deux formulaires publics qui envoyaient dans le vide

Fuite corrigée : la clé API Pennylane du cabinet était renvoyée au navigateur et apparaissait dans un badge de l’interface.
« Demander une démonstration » affichait une confirmation sans aucun appel réseau ; la confirmation n’apparaît maintenant qu’après un envoi accepté.
Les routes de réception des formulaires publics répondaient 401 : contact et démonstration étaient perdus. Elles sont désormais publiques, validation et limite de débit inchangées.
Boîtes de dialogue utilisables au clavier : focus initial, piège de tabulation, Échap, retour du focus ; sur une confirmation, le focus va sur « Annuler ».
Route de lien de paiement retirée : elle fabriquait des liens vers une page inexistante.

v7.94.021 septembre 2026

Le coût de l’IA mesuré au token réel, sauvegarde chiffrée

Le chat lit l’usage facturé dans le flux du modèle (tokens de cache compris, allers-retours d’outils cumulés) au lieu d’estimer « longueur du texte / 4 ».
Tarifs remis à la génération en service : Opus 5 était compté au prix de la génération précédente.
Sauvegarde : la limite de 10 000 lignes par table laissait des données de côté sans le dire. La lecture est paginée, et toute troncature restante est comptée comme une erreur.
Le dump est chiffré (AES-256-GCM) avant de quitter le serveur ; sans clé utilisable, rien n’est déposé.

v7.93.1 → v7.93.221 septembre 2026

La règle sous le constat, le chat branché au moteur

Chaque anomalie FEC, chaque case de CA3 et chaque contrôle de révision affiche sa référence cliquable vers le texte officiel, version datée en infobulle.
Nouvel outil du chat : un FEC joint est analysé par le moteur, le modèle ne fait que commenter des chiffres calculés, et refuse explicitement si une colonne obligatoire manque.
Contrôle d’équilibre corrigé : le regroupement par numéro d’écriture seul laissait deux déséquilibres opposés se compenser d’un journal à l’autre. La clé est désormais le couple journal et numéro.
Détection des doublons resserrée : moins de faux positifs sur des pièces légitimes.

v7.93.021 septembre 2026

La matière entre par le connecteur, le calcul s’affiche avant le commentaire

Bouton « Charger depuis ACD / Pennylane » dans les quatre parcours comptables : les écritures viennent du connecteur, plus d’un fichier reconstitué à la main.
Le résultat calculé s’affiche immédiatement, le commentaire rédigé arrive ensuite en flux.
Révision élargie de 26 à 32 contrôles.
Journal des actions rendu inaltérable au niveau de la base.
Arrondi au centime rendu symétrique dans les trois moteurs : un centime était perdu sur tout solde créditeur à demi-centime.

v7.92.1 → v7.92.319 septembre 2026

Une décision signée par contrôle

Chaque contrôle en attention ou en anomalie attend un geste : accepter, rejeter ou justifier, avec un motif obligatoire pour « justifié ».
La décision est signée du nom de son auteur, horodatée, liée à l’empreinte du fichier : un autre fichier, d’autres décisions.
Le journal des décisions est en ajout seul : une décision ne peut être ni modifiée ni supprimée, y compris par le serveur.
L’export FEC reste bloqué tant qu’une écriture de correction « à documenter » n’est ni acceptée ni justifiée.
Le chat n’énonce plus un montant sans passer par l’outil de calcul, et les constantes du cabinet passent avant le corpus documentaire.

v7.92.019 septembre 2026

Dire vrai et tracer

Site public réécrit sur ce que fait le code : les mentions d’hébergeur, de certification et de connecteurs non branchés ont été retirées.
Hébergement annoncé tel qu’il est : base et fonctions en région de Francfort, modèle appelé aux États-Unis sous clauses contractuelles types.
La bande des intégrations ne montre plus que des connecteurs testables.
Empreinte SHA-256 du fichier analysé conservée avec le résultat des moteurs.

v7.91.5 → v7.91.719 septembre 2026

Portail client borné aux cabinets autorisés

Correction de sécurité : la route du portail client lisait des factures par SIREN sur toute la table, ainsi que des fichiers partagés et des échéances sans borne de cabinet. Les trois lectures sont désormais limitées au périmètre de l’appelant, avec un test de garde.
Invitations du portail client et de l’API v1 : le lien ne transporte plus qu’une empreinte de jeton.
Carte « Bien démarrer » réaffichable depuis les paramètres.

v7.91.0 → v7.91.417 septembre 2026

Première connexion

Inscription ramenée à un seul écran, puis un parcours qui mène à une première analyse sans détour.
La fiche d’un dossier client s’ouvre directement après sa création.
Les lectures de base ne sont plus mises en cache par le serveur de rendu : un statut périmé ne s’affiche plus après un changement.
Parcours mesuré en production de bout en bout, corrections tirées de cette mesure.

v7.89.0 → v7.90.017 septembre 2026

Finitions à grande échelle, barre latérale essentielle

Barre latérale en mode essentiel par défaut : liens fixes, parcours, modules épinglés ; les sections complètes restent accessibles à la demande.
Nouveau catalogue de modules, avec recherche insensible aux accents et épinglage synchronisé avec la barre latérale.
Révision par cycles, comparateur de statuts, pénalités de relance et liasse pré-remplie livrés en moteurs déterministes.
Exports Excel réécrits sur une bibliothèque maintenue ; dictionnaires de traduction séparés et chargés à la demande.
Erreur d’hydratation présente sur toutes les pages identifiée et corrigée.

Changelog