Public

La notification signée de Stripe (encaissement, échec, résiliation, remboursement). S'authentifie par la signature ; idempotente.

La notification signée de Stripe CONNECT (événements des comptes connectés : paiement, abonnement, facture, remboursement, litige, compte mis à jour). Son propre secret ; idempotente ; 503 tant que la vente n'est pas activée.

Le relais des modèles en lecture : une requête GET du binaire (liste des modèles…) recopiée telle quelle chez le fournisseur.

Le relais des modèles (D24) : le binaire officiel d’une session en mode crédits y envoie ses requêtes, et Nexus les transmet au fournisseur avec SA clé.

Santé du service : base, sauvegarde, clé de chiffrement. Hors plafond de débit.

Le pixel d’ouverture d’un courriel : rend TOUJOURS une image GIF d’un pixel, et date la première ouverture si la signature (HMAC) est bonne. Ne stocke ni adresse IP ni user-agent.

Le lien suivi d’un courriel d’application (suivi demandé à l’envoi) : compte le clic et redirige (302) vers l’adresse `u`, couverte par la signature (HMAC du message, de la position et de l’adresse). Ne stocke ni adresse IP ni user-agent.

L’enveloppe d’un accès partagé à un tiers : qui partage quoi, jusqu’à quand — rien qui serve à entrer. Ne compte ni n’écrit rien.

Le contenu d’un accès partagé à un tiers (adresse, identifiant, secret) : le clic « Afficher » de la page, compté et journalisé.

La page publique d’un lien de partage à aperçu riche (`/c/<apercu>#<jeton>`, que nginx confie à cette route) : `site/c.html` avec le titre de la création, une phrase sobre et sa miniature dans les balises Open Graph et Twitter. Ne compte ni n’écrit rien.

La miniature de l’aperçu riche d’un lien de partage OUVERT — l’`og:image` de sa page.

L’enveloppe d’une création partagée à un tiers : qui partage quoi, jusqu’à quand, et comment la page saura l’afficher. Ne compte ni n’écrit rien.

Le clic « Afficher » de la page : compté, journalisé, et il rend l’adresse SIGNÉE des octets et des pièces, valable douze heures.

Entrer dans un lien de partage protégé par un mot de passe : rend une preuve signée, jamais la création.

Demander le code à six chiffres d’un lien de partage réservé à des adresses ou à des domaines.

Échanger le code reçu par courriel contre la preuve d’entrée d’un lien réservé.

Les octets d’une création partagée, par plages (`Range`) : c’est ce qu’une balise `<video>` ou `<img>` va chercher.

Un fichier posé à côté de la création partagée (une photo, une police, un son), par son NOM : ce que la page va chercher pour les images voisines d’une maquette. Le même ticket que les octets.

Le vrai PDF (`pdf`) ou le HTML autonome (`html`) d’une création partagée, que le poste qui a partagé a fabriqués : le téléchargement direct de la page du tiers. Le même ticket que les octets.

Le script de consentement d’un site (Cookie By Nexus) : `/cookies/<cle>.js`, à poser en tête du <head>, avant tout autre script. Consent Mode v2 par défaut refusé, bandeau, blocage des scripts tiers non consentis.

La preuve d’un choix de consentement, déposée par le navigateur du visiteur.

Une page d’aperçu du bandeau d’un site, sous une politique de contenu stricte : rien n’est enregistré.

L’enveloppe d’un lien de DÉPÔT : ce qu’on demande au tiers, ce qu’il a déjà déposé par ce lien, et ce qui lui reste (fichiers, octets).

Crée un sous-dossier par un lien de dépôt, à la racine partagée ou dans un dossier déjà créé par ce lien.

Dépose un fichier par un lien de dépôt. Il devient une création du dossier, gardée par le serveur.

Retire un fichier que CETTE personne vient de déposer — celui qu’on a envoyé par erreur.

L’enveloppe d’un lien de Transfert (`/t#<jeton>`) : entreprise, échéance, et — lien ouvert ou adresse confirmée — titre, message, expéditeur, première page des fichiers avec leur disponibilité. Ne compte ni n’écrit rien.

La page suivante des entrées d’un lien de Transfert (500 par page), avec la disponibilité de chacune.

La page d’un lien de Transfert s’est ouverte et une personne s’en sert : la page le dit sur un GESTE (un clic, une touche), jamais à l’affichage. Écrit un fait VISITE.

Demande un code à six chiffres pour une adresse d’un partage vérifié : il part par courriel, vaut un quart d’heure, et seul le dernier demandé vaut.

Échange le code contre une SESSION de partage (2 h au plus, jamais au-delà du lien) — un jeton court, lié à CE partage, qui n’est pas un compte.

Autorise la lecture d’un lot de fichiers (1 à 100) : une URL signée par fichier, 5 minutes, UN objet, en pièce jointe — émise après relecture du lien, du transfert, de la session et de l’état du fichier.

Demande l’archive ZIP de tout l’envoi (ou d’une sélection de 1 à 1 000 fichiers), ou en SUIT la préparation (`archive`). Rien n’est fabriqué par l’API : un worker à part écrit l’archive en flux dans le stockage.

L’HISTORIQUE de ce lien pour son destinataire (lot 20) : quand il a été créé et l’envoi publié, son adresse confirmée, et ce que CET appelant a fait — page ouverte, téléchargement commencé, réception confirmée.

L’APERÇU d’un fichier (lot 19) : le demande, ou en SUIT la préparation. Images (JPEG, PNG, GIF, WebP, AVIF, TIFF), PDF (les 3 premières pages en images), textes (les 64 premiers Kio) ; tout autre format : `IMPOSSIBLE FORMAT_NON_PRIS_EN_CHARGE`, et le téléchargement.

L’adresse signée d’une archive PRÊTE : cinq minutes, en pièce jointe, téléchargée directement depuis le stockage.

Le destinataire confirme qu’il a reçu un lot de fichiers INTACTS : l’empreinte qu’il a relue est celle que Nexus a vérifiée.

Lot 18 — le tiers demande le DIRECT pour UN fichier : le recevoir du poste de l’émetteur (WebRTC) plutôt que du stockage, quand le serveur, l’entreprise et le fichier le permettent.

Lot 18 — un message de la négociation (offre, candidat, connecté, fin) vers le poste de l’émetteur.

Lot 18 — la requête LONGUE du tiers : les messages que le poste lui destine, après le numéro `apres`.

Lot 18 — le tiers déclare l’issue : par quelle voie le fichier est arrivé, combien d’octets par chacune, en combien de temps — la mesure comparative.

L’enveloppe d’un lien de DÉPÔT (lot 10) : la demande, ses règles utiles et — avec la clé du navigateur — SES dépôts.

Déclare 1 à 100 fichiers : chacun jugé SEUL, sa place RÉSERVÉE avant le premier octet.

Ouvre (ou reprend) l’envoi d’UN fichier de ce déposant : taille de partie, nombre de parties.

Les parties que le stockage a DÉJÀ reçues pour un fichier de ce déposant : la reprise n’envoie que les autres.

Signe un lot de parties (1 à 100) d’un fichier de ce déposant : URL d’ÉCRITURE de courte durée, à la taille EXACTE de chaque partie.

Le fichier est complet : Nexus le relit au stockage, le met en quarantaine et en demande l’analyse.

Abandonne l’envoi en cours d’un fichier de ce déposant (le fichier reste déclaré : un nouvel envoi repart de zéro).

Retire un fichier de ce déposant d’une collecte OUVERTE : effacé du stockage, sa place rendue.

Les commentaires posés par CE lien — jamais ceux d’un autre lien de la même création : prénom, texte, ce qu’ils désignent, et s’ils sont résolus.

Un tiers commente la création qu’un lien lui montre : son prénom (une fois, gardé par son navigateur), son texte, et ce qu’il désigne — une zone d’image, un instant de vidéo, un élément de page, ou la création entière.

Le tiers modifie le texte de l’un de SES commentaires, sur la preuve de la clé qui l’a écrit.

Le tiers retire l’un de SES commentaires, sur la preuve de la clé qui l’a écrit.

L’enveloppe d’une demande « Recevoir un mot de passe » : qui demande quoi, jusqu’à quand, les types proposés — et le défi à rapporter. Ne compte ni n’écrit rien.

L’envoi d’un accès par un tiers sans compte : l’accès est créé dans le coffre visé, et le lien meurt.

L’enveloppe d’un fichier IA partagé à un tiers : qui partage quoi, sa taille, la date de la copie, jusqu’à quand — aucun octet du fichier. Ne compte ni n’écrit rien.

Les octets d’un fichier IA partagé, en base64 : le clic « Afficher » de la page, compté et journalisé.

Les versions publiées de l’application, la plus récente d’abord.

La dernière version publiée INSTALLABLE par le poste qui demande (lue par la mise à jour des postes).

Dépôt d’un rapport de plantage par l’application (quota par adresse).

Le plugin Figma se présente. Il n’obtient RIEN de l’agence : un jeton qui ne sert qu’à sa propre session, et un code court à faire recopier par un humain dans Nexus. Aucune donnée du document ne remonte avant l’association.

L’attente longue du plugin : la requête reste ouverte jusqu’à ce qu’une commande arrive, ou jusqu’à la borne. Le battement voyage dans le même appel. Un jeton invalide rend 401 NET, pour que le plugin cesse de marteler.

Le résultat d’une commande : accusé, progrès, résultat, erreur ou annulation. Un plugin ne peut répondre que pour SA session. « Reçue » n’est pas « appliquée », qui n’est pas « vérifiée ».

Le plugin s’en va — au mieux. S’il n’arrive pas (onglet fermé d’un coup, autre plugin lancé), le silence fera le travail : la session passe « déconnectée », jamais « fermée ».

Le préalable CORS de l’iframe du plugin, dont l’origine est `null` (bac à sable Figma). Autorisée explicitement : un refus CORS ne produit aucune erreur lisible côté plugin, seulement une requête qui n’arrive jamais.

Le retour de Google après l’autorisation : échange le code, range le jeton chiffré, et rend une page à fermer.

La page d’un lien de partage dit ce que le tiers fait APRÈS l’ouverture : temps actif, pages vues et leur durée, clics, téléchargements.

La page de participation (`/p#<jeton>`) lit le formulaire qu’une application a déclaré sur un de ses webhooks : titre, intro, champs, phrase de remerciement.

Quelqu’un SANS COMPTE envoie ses réponses : Nexus juge chaque champ déclaré et dépose la réponse dans le webhook, remise à l’action de l’application comme un appel.

L’adresse publique d’un webhook d’application : un service extérieur y dépose un appel, gardé TEL QUEL (256 Ko au plus) jusqu’à ce qu’un poste du membre le remette à l’application.

Les défis déclarés à la création (`reponse`) : Meta (`hub.challenge` pour le bon `hub.verify_token`), Microsoft Graph (`validationToken`), un paramètre recopié — en texte, sur-le-champ, sans rien remettre.

Le retour d’un réseau après l’autorisation : range la connexion (jetons chiffrés) et tous ses comptes, rend une page à fermer.

La vérification d’abonnement des webhooks Meta.

Les évènements Meta (commentaires, mentions, messages) : signature X-Hub-Signature-256 vérifiée, envoi traité une seule fois.

La politique de confidentialité de l’application Meta d’un espace, servie par Nexus (l’URL à coller chez Meta).

Les instructions de suppression des données de l’application Meta d’un espace.

Le rappel de suppression des données de Meta : `signed_request` vérifiée (HMAC-SHA256, clé secrète de l’application), connexions de la personne effacées (identité, jetons).

Le statut d’une demande de suppression des données reçue de Meta, par son code de confirmation.

Le fichier d’une création du Studio, servi une heure à la plateforme qui le télécharge pour le publier.

La page d’un dossier client (`/e#<jeton>`) : titre, texte, documents à consulter, et la demande de signature avec le lien du signataire tant que c’est à lui de signer. Date la première ouverture.

Le client d’un dossier clique « Payer » : rend l’adresse de la page Stripe Checkout, sur le compte Connect de l’espace.

Un document à consulter d’un dossier client, en pièce jointe.