01 — Documentation technique (annexe VII)

Ce document constitue le dossier de documentation technique exigé par l'annexe VII du CRA. Il s'appuie sur les documents techniques du dépôt, référencés plutôt que recopiés.

1. Description générale du produit

• Nom : Superviseur.
• Fabricant : Desautel — [À COMPLÉTER : raison sociale, forme juridique, adresse, identifiant].
• Version couverte : [À COMPLÉTER : version publiée] (source de vérité : app.config.json et ../../CHANGELOG.md).
• Fonction : supervision d'alarmes incendie. Interrogation cyclique de centrales via Modbus TCP/RTU, affichage temps réel des états et incidents, gestion des acquittements et commandes, journalisation, rapports.
• Usage prévu et environnement : poste de supervision dédié fonctionnant en réseau local fermé (sans accès Internet requis), en salle technique ou poste de sûreté. Détail dans 03 — Informations utilisateur.

2. Conception et développement

L'architecture logicielle, les couches et les composants sont décrits dans ../project/ARCHITECTURE.md ; l'exploitation et le déploiement dans ../project/NOTICE_TECHNIQUE.md.

Synthèse des composants :

Composant	Technologie	Rôle
Backend	C# .NET 9, ASP.NET Core, EF Core, PostgreSQL, SignalR, JWT	Service Windows : API, supervision Modbus, persistance, authentification
Frontend	Vue 3, TypeScript, Vite	Interface web embarquée dans le backend
Client	WPF .NET 9, WebView2	Coquille bureau plein écran affichant l'interface
Manager	WinForms .NET 9	Icône barre des tâches, contrôle du service
Installateur	Inno Setup + PostgreSQL embarqué	Déploiement sur le poste

3. Mesures de cybersécurité (exigences essentielles, annexe I)

La couverture détaillée des exigences essentielles, les mesures techniques et les risques acceptés font l'objet du document dédié : 02 — Évaluation des risques.

Principales mesures techniques mises en œuvre :

• Transport : HTTPS (TLS) sur le port 5000 en production, redirection HTTP→HTTPS, HSTS, en-tête CSP.
• Authentification : JWT (HMAC-SHA256), mots de passe hachés BCrypt, refresh tokens hachés en base, contrôle d'accès par rôles, limitation de débit anti-force brute, durée de session bornée.
• Secrets au repos : clé de signature JWT et secret applicatif chiffrés via DPAPI (portée machine) sous Windows. Un unique secret, saisi à l'installation, gouverne le compte SuperAdmin, le rôle applicatif PostgreSQL et le superutilisateur du cluster embarqué : aucune identité ne conserve de mot de passe par défaut, et aucun binaire livré n'en porte.
• Intégrité : signature de code Authenticode horodatée des binaires et de l'installateur (pilotée par certificat fourni au build) ; la construction peut refuser de produire un livrable non signé.
• Réduction de surface : pare-feu limité au profil réseau privé, CORS restreint au réseau local, en-têtes de durcissement, PostgreSQL en écoute locale uniquement, fichiers téléversés typés d'après leur contenu, vérification du mot de passe administrateur sans identifiant restreinte à la boucle locale.
• Journalisation : Serilog (rétention 90 j), audit métier en base et journal réglementaire dédié, inaltérable depuis l'application et conservé au minimum 5 ans.

4. Nomenclature logicielle (SBOM) et composants tiers

• SBOM au format CycloneDX (.NET + npm), généré à chaque exécution de l'intégration continue et publié en artefact (voir 05).
• Attribution des licences des composants tiers : ../project/THIRD-PARTY-NOTICES.md.

5. Gestion des versions et des mises à jour

• Versionnage sémantique, journal des modifications ../../CHANGELOG.md avec une catégorie Security pour les correctifs de sécurité.
• Mise à jour par réexécution de l'installateur signé (préservation des données existantes).
• Processus de traitement des vulnérabilités : voir 05.

6. Période d'assistance

Voir 06 — Période d'assistance.