Un poste s'installe en une commande

[lostmind84]

Ce que ça change

irm https://raw.githubusercontent.com/lostmind84/OpenScale/main/deploy/windows/bootstrap.ps1 | iex

curl -fsSL https://raw.githubusercontent.com/lostmind84/OpenScale/main/deploy/windows/bootstrap.cmd -o %TEMP%\openscale.cmd && %TEMP%\openscale.cmd

Sept gestes disparaissent. Trois d'entre eux échouaient en silence chez un bénévole :

• la case « Débloquer » oubliée, que la stratégie d'exécution transforme en refus parlant de « fichier téléchargé depuis Internet » et jamais d'OpenScale ;
• PowerShell ouvert sans élévation, dont le refus n'arrivait qu'après le téléchargement ;
• le mauvais répertoire, qui faisait accuser l'archive alors que c'est le cd qui a manqué.

Cette branche ne touche ni install.ps1 ni common.ps1 : elle ajoute un script qui les appelle. La voie clé USB reste entière pour un poste sans Internet.

La collision avec main, et comment elle est résolue

main a livré le même jour, pour un autre défaut, install.ps1 -AccountPassword : un mot de passe de compte choisi à l'installation, plancher à quatre caractères dans common.ps1, décision confiée à Resolve-AccountPassword. Cette branche portait un -SessionPassword qui faisait le même travail en moins bon — il ne conservait pas le mot de passe d'un poste réinstallé et ne le vérifiait pas par Test-LocalCredential.

Il a été retiré. Le bootstrap se branche sur -AccountPassword, et install.ps1/common.ps1 reprennent la version de main sans un mot de la mienne. Le plancher de quatre caractères a disparu du bootstrap au passage : il vit dans common.ps1, Resolve-AccountPassword en est l'autorité, et la question le lit. Un bootstrap qui l'aurait redit aurait accepté ce que l'installeur refuse trois pas plus loin, devant un bénévole ayant déjà tout répondu — le test qui gardait la constante garde maintenant son absence.

Cinq points de conception

L'URL pointe main, pas une release. Le fichier ne porte aucun numéro de version — il demande /releases/latest, seul point de l'API qui exclut brouillons et pré-versions par contrat. Un actif de release le figerait sur son tag ; GitHub Pages en ferait une seconde copie à tenir synchrone avec deploy/windows/.

L'empreinte est vérifiée avant l'extraction. Expand-Archive sur une archive non vérifiée écrit sur le disque des fichiers dont la ligne suivante en exécute un en administrateur.

L'élévation et le mode non-interactif ne se combinent pas. Le one-liner se relance seul par Start-Process -Verb RunAs et pose ses questions dans la fenêtre élevée. Avec -AccountPassword, cette relance est refusée : une relance élevée fait passer ses paramètres par une ligne de commande, lisible dans la liste des processus par tout utilisateur de la machine.

Les scripts survivent à l'installation. install.ps1 ne copie aucun script — uninstall.ps1, update.ps1 et harden.ps1 ne survivaient que parce que l'archive restait sur le Bureau. Le dossier extrait est conservé sous C:\ProgramData\OpenScale\installer\<version>\.

-Version ne casse pas après les questions. Ce script vit sur main, les archives sont figées à leur tag : installer une release antérieure aurait fait échouer l'appel sur un paramètre inconnu après le téléchargement, l'extraction et les trois questions. Les paramètres sont confrontés à ce qu'install.ps1 déclare, et ce qui manque est retiré et annoncé.

Le mot de passe du compte à quatre caractères

Ce mot de passe est déjà en clair dans Winlogon\DefaultPassword et sur la fiche d'installation : sa longueur ne protège pas ce poste. Le refus de connexion réseau (SeDenyNetworkLogonRight) a été proposé et écarté — le réseau du magasin est un réseau de confiance. C'est écrit dans le spec pour être rouvrable, pas redécouvert.

La saisie est masquée et confirmée. Ce que le masque achète n'est pas un secret gardé, c'est un mot de passe qui ne s'affiche pas à l'écran d'un poste posé face aux clients.

Vérification

pwsh -File ./make.ps1 test vert après le merge de main — vet, boundary, deps, l'ensemble des paquets, passe -race.

13 tests ajoutés dans deploy/bootstrap_test.go : aucune version figée, l'empreinte comparée avant l'extraction, Unblock-File appelé, tout paramètre passé déclaré par install.ps1, le mot de passe absent de tout Write-Host et de tout journal, le plancher lu et non redit, les deux entrées qui nomment la même URL, le dépôt et l'hôte alignés sur DefaultUpdateRepository et DefaultBaseURL, l'auto-élévation refusée avec un secret, les scripts conservés sur le poste, la compatibilité avec un install.ps1 plus ancien. Le parsing PowerShell réel (pwsh et powershell.exe 5.1) et la marque d'ordre des octets couvrent le nouveau fichier sans une ligne de plus.

Le chemin réseau a été éprouvé contre la vraie release v0.9 : API interrogée, archive de 7,2 Mo téléchargée, empreinte d33c5d72… conforme, extraction vérifiée. Ce qui reste à la recette de §15.2 : l'invite UAC, le service qui démarre, le redémarrage de recette.

Documentation

INSTALLATION.md retombe à 15 minutes comptées (les deux minutes d'écart étaient le téléchargement et la décompression), garde la section de main sur le mot de passe du compte et gagne « Installer un poste sans Internet », les étapes renumérotées de 1 à 6. README.md gagne une section « Installer un poste » ; handbook/getting-started.md renvoie à INSTALLATION.md par URL absolue (ODR-0002).

Spec : docs/superpowers/specs/2026-07-31-installation-en-une-commande-design.md.