PIXELINGO — RELAIS DES E-MAILS D'AUTHENTIFICATION
17 octobre 2026

État effectif
Worker https://pixelingo-auth-mail.quentinbored.workers.dev déployé.
Le Send Email Hook Supabase est enregistré mais DÉSACTIVÉ après le test réel.
Le SMTP Resend existant reste donc le chemin des comptes actuels.
Le Worker n'accepte que compte@pixelingo.fr, mode QA, plafond cumulé 20,
plafond quotidien 20 ; un seul message réel a été envoyé par ce relais.
Ne pas activer ce hook pour tous les comptes avec cette configuration QA.

Fonctionnement
Supabase signe le corps brut selon Standard Webhooks. Le Worker valide la
signature, l'âge, le format et le destinataire avant admission transactionnelle
dans un Durable Object SQLite. Il répond seulement après cette admission.
Les alarmes expédient un lot de 100 maximum par seconde via Resend Batch.
Les nouveaux lots utilisent la validation permissive : une adresse rejetée
n'empêche pas les autres messages valides du même lot d'être acceptés. Les
indices de rejet et le nombre d'identifiants acceptés sont vérifiés ; une réponse
incohérente reste incertaine et est reprise avec la même clé, sans faux succès.
Le mode est conservé dans SQLite : un ancien lot strict conserve son mode lors
d'une reprise après mise à jour. Les motifs bruts du fournisseur ne sont pas stockés.
Une seule requête fournisseur est en cours ; 429, erreurs réseau et 5xx sont
repris avec le même corps et la même clé d'idempotence. Les quotas du relais
sont indépendants des quotas Supabase et Resend, qu'ils ne contournent pas.

La réserve quotidienne compte les lots en cours une seule fois. Une reprise
après minuit UTC réserve aussi le nouveau jour, par prudence après réponse
ambiguë. Le plafond cumulé ne se réinitialise pas chaque jour : garde de coût
volontaire, à relever explicitement pour une campagne ou un lancement.

Liens/payloads expirent dans la file après 15 minutes et sont purgés après
acceptation fournisseur ou échec définitif. Les métadonnées de déduplication
sont conservées environ 24 heures. acceptedByProvider ne signifie pas reçu
dans une boîte : la livraison a été contrôlée séparément pour le test réel.
La journalisation des corps et secrets est désactivée. Aucun token ne doit
être ajouté aux rapports, commandes shell, journaux ou captures.

Outils
node scripts/load/auth-mail-operator.mjs status
  Compteurs privés, aucun destinataire ni lien retourné.
node scripts/load/auth-mail-operator.mjs probe
  Vérifie signature et refus d'accès, zéro e-mail demandé.
node --test tests/auth-mail-queue.test.mjs tests/auth-mail-runtime.test.mjs
node --test tests/auth-mail-partial.test.mjs
node scripts/load/auth-mail-model.mjs
  Modèle LOCAL de 50 000 messages fictifs, aucun appel fournisseur. Ce modèle
  ne mesure ni Supabase, ni le Worker distant, ni la livraison réelle.

Secrets
SEND_EMAIL_HOOK_SECRET et MAIL_OPERATOR_KEY : coffre Windows, service
pixelingo-auth-mail ; déploiement via opérateur configure et stdin Wrangler.
RESEND_API_KEY : secret Cloudflare, clé d'envoi limitée pixelingo.fr, créée
et saisie par le créateur ; ne pas extraire sa valeur.
Le secret réel provient du bouton Generate secret Supabase, format v1,whsec_.
Le presse-papiers Cua du navigateur n'est pas celui du Ctrl+V système Windows.

Avant activation générale
- Valider une nouvelle inscription/confirmation complète avec le relais.
  Cette tranche prouve un vrai e-mail de récupération ; la confirmation
  complète précédente utilisait SMTP.
- Choisir les quotas et forfaits autorisés, conserver une marge pour récupération,
  changements d'adresse et notifications. Aucun forfait acheté ici.
- Passer les destinataires/mode et plafonds seulement avec la capacité approuvée.
- Validation partielle corrigée et testée localement (17 tests, dont moteur
  Workers). Vérifier ensuite le comportement réel Resend sur un lot contrôlé ;
  aucun envoi réel supplémentaire n'a été fait pour ce correctif.
- Surveiller la file, pauses, expirations, rebonds et livraisons. Une réponse
  d'admission n'est pas une preuve de livraison ; l'interface doit le dire.
- Vérifier les rafales réelles Auth, les limites Supabase, les abus et l'envoi
  soutenu dans une campagne bornée. Aucun test réel de 50 000 e-mails effectué.

Retour au SMTP
Désactiver le Send Email Hook dans Supabase (déjà fait). Ne pas doubler les
envois en rejouant la file via SMTP. Examiner d'abord pending et arrêter
MAIL_ACCEPT_ENABLED si nécessaire ; MAIL_SEND_ENABLED=false arrête l'expédition
mais garde le nettoyage des liens périmés. La pause fournisseur est persistante :
aucune remise à zéro automatique de budget ou de pause ne doit être improvisée.

Preuves : experiments/auth-mail-queue-2026-10-17/BILAN.txt.
Correctif lots partiels : experiments/auth-mail-partial-2026-10-17/BILAN.txt.
