[guycorbaz]

Deuxième partie de la Story 32-5, après la 32-5a (#751) : la clé MCP devient un moyen d'authentification. Aucune route ne l'expose encore. Les routes de gestion viennent en 32-5c ; l'endpoint /mcp, en 32-6.

Ce qui est livré

• Génération :
  • MCP_PREFIX = "kesh_mcp_" et generate_mcp_key ;
  • un cœur privé generate_prefixed, partagé avec le PAT et le jeton de réinitialisation, ce qui réduit OsRng.fill_bytes à une seule occurrence.
• Portee devient un alias de kesh_db::entities::McpScope.
• services::cles_mcp::authentifier(&Lecture, &Trace, jeton) :
  • le préfixe est contrôlé aux octets, avant tout accès à la base ;
  • la recherche passe par la Lecture, la dernière utilisation par la Trace ;
  • les refus — clé inconnue, révoquée ou expirée, société absente, créateur inactif, non administrateur ou d'une autre société, clé sans portée connue — rendent tous le même 401, et le motif ne va qu'au journal du serveur ;
  • une erreur de base se propage, elle n'est jamais convertie en 401.
• La jointure de l'authentification exige en plus u.company_id = k.company_id.
• Un jeton kesh_mcp_ présenté à /api/v1 rend 401, en en-tête comme en cookie, et un PAT n'authentifie pas une clé MCP.
• Une clé restaurée authentifie. Une clé révoquée avant l'export revient révoquée ; une clé révoquée après l'export revient active, ce qui est l'état au moment de la sauvegarde.

Revue de code

Passe	Modèle	Bilan
P1	Sonnet ×3	B 0/0/0/3, E 0/0/1/5, A 0/0/0/3
P2 ciblée	Opus	0/0/1/2
P3 ciblée	Sonnet	0/0/0/2

Les deux LOW de la P3 sont tracés sur #738.

Mutations : 13 jouées (12 distinctes), toutes tuées.

Gates au dernier commit de code e64ef129

• Gate complet : 4085/4085, 7 ignorés.
• E2E complet : 315 passés et les 7 échecs KF-029 attendus.

main n'a pas bougé depuis la base de la branche (b723e3d9).

Liée à #723.

🤖 Generated with Claude Code