bug fixed for api key save

Author: nocomp

.gitignore

@@ -189,3 +189,7 @@ config_exo_*.example.xml
 # depuis config.xml.example)
 config.xml
 !config.xml.example
+
+# ── v2.0.5 — Config IA persistée (contient clé API en clair, NE JAMAIS COMMITTER) ──
+instance/ia_config.json
+instance/

CHANGELOG_v2.0.5.md

@@ -0,0 +1,108 @@
+# SCRIBE v2.0.5 — 27 avril 2026
+
+## 🛠 Hotfix critique : sauvegarde de la clé API IA depuis l'admin
+
+### Le bug
+
+Dans toutes les versions précédentes (v2.0.0 à v2.0.4), il était **impossible
+d'enregistrer une clé API IA depuis le panneau d'administration**. Le panneau
+ne proposait qu'un bouton "Tester" — aucun bouton "Enregistrer" — et la
+documentation affichée demandait de définir des variables d'environnement
+côté serveur avant de redémarrer SCRIBE.
+
+Conséquence pour les nouveaux utilisateurs (CHU, RSSI, ESN qui clonent le
+repo) : impossible d'activer Albert ou tout autre fournisseur IA sans
+toucher au shell du serveur, ce qui rend la démo OVH publique inutilisable
+sur l'IA et bloque l'évaluation par les profils non-techniques.
+
+### Le fix
+
+Le panneau **Admin → APIs & IA** propose désormais 3 boutons distincts :
+
+- **🧪 Tester la clé** — valide la connexion au fournisseur sans rien
+  enregistrer (comportement de l'ancien bouton "Tester")
+- **💾 Enregistrer & activer** — persiste la configuration dans
+  `instance/ia_config.json` (permissions `0600`, fichier ignoré par Git)
+  et recharge l'IA à chaud, sans redémarrage serveur
+- **🗑 Supprimer la config sauvegardée** — supprime le fichier persisté et
+  revient aux variables d'environnement (ou aux valeurs par défaut)
+
+Le panneau permet aussi de saisir un **modèle** spécifique (optionnel) et,
+pour les fournisseurs locaux (Ollama, OpenAI Compat), une **URL de serveur
+local**. Les placeholders sont pré-remplis avec les modèles et URLs par
+défaut de chaque fournisseur.
+
+### Détails techniques
+
+**Backend** :
+- Nouvelles routes `POST /api/v1/admin/config/ia` et
+  `DELETE /api/v1/admin/config/ia` dans `core/admin_plugins.py` (admin only)
+- Persistance JSON dans `instance/ia_config.json` (créé à la demande,
+  permissions `0600`)
+- Fonctions `_load_persisted_ia()` et `save_persisted_ia()` dans `config.py`
+- Fix critique dans `app/api/ai_router.py` : `AIConfig.__init__` lit
+  désormais `config.IA` en priorité (qui a appliqué le fichier persisté),
+  au lieu de relire directement `os.getenv()` à chaque création. Sans ce
+  fix, la sauvegarde ne prenait pas effet sans redémarrage.
+- Validation : providers cloud (`albert`, `openai`, `anthropic`, `gemini`,
+  `mistral`) exigent une clé API ; providers locaux (`ollama`,
+  `openai_compat`) acceptent une URL seule.
+
+**Frontend** :
+- `app/static/js/scribe.js` : refonte complète de `adminShowIaConfig()`,
+  ajout des fonctions `adminTestIaKey()`, `adminSaveIaConfig()`, et
+  `adminResetIaConfig()`. L'ancienne fonction `adminSaveIaKey()` est
+  conservée comme stub de compatibilité.
+- Le panneau expose maintenant clairement la persistance, sans message
+  trompeur "(sauvegardée en variable d'env temporaire)".
+
+**Sécurité** :
+- Fichier `instance/ia_config.json` ajouté au `.gitignore` pour éviter
+  toute fuite accidentelle de clé API en clair.
+- Permissions `0600` posées au moment de l'écriture (Linux/macOS).
+
+### Workflow utilisateur
+
+1. **Admin** se connecte, clique sur le bouton ⚙ Administration
+2. Choisit la section **APIs & IA** dans le menu latéral
+3. Clique sur le fournisseur souhaité (ex : Albert)
+4. Saisit sa clé API + un modèle (optionnel) + une URL si fournisseur local
+5. **🧪 Tester la clé** pour valider la connexion → message vert
+6. **💾 Enregistrer & activer** → la config est persistée et l'IA est
+   utilisable immédiatement, sans redémarrer SCRIBE
+7. Toutes les fonctions IA (Analyse incident, Situation globale,
+   Génération scénario...) sont opérationnelles
+
+### Compatibilité
+
+- **Variables d'environnement** : si `SCRIBE_IA_PROVIDER`, `SCRIBE_IA_KEY`,
+  etc. sont définies au lancement, elles servent de valeurs par défaut.
+  Le fichier `instance/ia_config.json` (s'il existe) les surcharge.
+  Pour revenir aux variables d'env : `🗑 Supprimer la config sauvegardée`.
+- **Anciennes installations Docker** : compatibilité totale, le mode
+  `docker run -e SCRIBE_IA_KEY=xxx` continue de fonctionner.
+
+### Validation
+
+- 118 fichiers Python validés (ast.parse)
+- `node --check` OK sur scribe.js
+- 10 tests fonctionnels TestClient :
+  - GET initial avec/sans clé
+  - POST avec validation provider/cloud-key/local-url
+  - DELETE remise à zéro
+  - Permissions 0600 du fichier persisté
+  - Persistance survit au reload du process
+  - Non-admin rejeté en 403
+  - Le 400 `ia_not_configured` disparaît bien après save
+- Bench `tests/bench/bench.py` : 4/5 OK (échec connu sur
+  `04_transfert_federe`, non lié à ce fix)
+
+### Mise à jour
+
+```bash
+cd votre-instance-scribe
+git pull origin main
+# Aucune migration de DB requise
+# Aucune modification des configs existantes
+# Le fichier instance/ia_config.json sera créé à la première sauvegarde admin
+```

app/api/ai_router.py

@@ -70,10 +70,23 @@ class AIConfig:
     """Configuration du fournisseur IA, chargée une fois au démarrage."""
 
     def __init__(self):
-        self.provider = os.getenv("SCRIBE_IA_PROVIDER", "albert").lower()
-        self.api_key  = os.getenv("SCRIBE_IA_KEY", "")
-        self.model    = os.getenv("SCRIBE_IA_MODEL", "")
-        self.base_url = os.getenv("SCRIBE_IA_URL", "")
+        # v2.0.5 — Priorité de lecture :
+        #   1. config.IA (qui a déjà appliqué instance/ia_config.json + env vars)
+        #   2. fallback config.js IA section (legacy)
+        # Ainsi l'admin qui sauvegarde via UI voit son changement pris en compte
+        # immédiatement après reload_ai_config().
+        try:
+            from config import IA
+            self.provider = (IA.get("provider") or "albert").lower()
+            self.api_key  = IA.get("api_key", "") or ""
+            self.model    = IA.get("model", "") or ""
+            self.base_url = IA.get("base_url", "") or ""
+        except Exception:
+            # Fallback strict env si import config échoue (cas exotique)
+            self.provider = os.getenv("SCRIBE_IA_PROVIDER", "albert").lower()
+            self.api_key  = os.getenv("SCRIBE_IA_KEY", "")
+            self.model    = os.getenv("SCRIBE_IA_MODEL", "")
+            self.base_url = os.getenv("SCRIBE_IA_URL", "")
 
         self._load_from_config_js()
 

app/static/js/scribe.js

@@ -5829,6 +5829,8 @@ async function loadAdminIA() {
     const r2 = await apiFetch('/api/v1/admin/config/ia');
     if (!r2 || !r2.ok) return;
     const d2 = await r2.json();
+    // v2.0.5 — cache global pour que adminShowIaConfig puisse récupérer default_model
+    window._iaProvidersCache = d2.all_providers || [];
     const provBox = document.getElementById('admin-ia-providers');
     if (!provBox || !d2.all_providers) return;
     provBox.innerHTML = d2.all_providers.map(p => {
@@ -5851,30 +5853,58 @@ function adminShowIaConfig(providerId, providerLabel) {
   if (!panel) return;
   panel.style.display = 'block';
   panel.scrollIntoView({behavior:'smooth', block:'nearest'});
+
+  // v2.0.5 — Récupérer le modèle par défaut du fournisseur depuis la config exposée
+  let defaultModel = '';
+  try {
+    const all = window._iaProvidersCache || [];
+    const meta = all.find(p => p.id === providerId);
+    if (meta && meta.default_model) defaultModel = meta.default_model;
+  } catch(e) {}
+
+  const isLocal = providerId === 'ollama' || providerId === 'openai_compat';
   panel.innerHTML =
     '<div style="font-family:var(--mono);font-size:11px;font-weight:700;margin-bottom:10px">⚙ Configurer : ' + providerLabel + '</div>' +
-    '<p style="font-family:var(--mono);font-size:10px;color:var(--muted);margin-bottom:10px">' +
-      'Pour activer ce fournisseur, définir les variables d\'environnement suivantes avant de démarrer SCRIBE :' +
-    '</p>' +
-    '<div style="background:var(--surface3);border-radius:4px;padding:10px;font-family:var(--mono);font-size:10px;line-height:2">' +
-      '<div>export <strong>SCRIBE_IA_PROVIDER</strong>=' + providerId + '</div>' +
-      '<div>export <strong>SCRIBE_IA_KEY</strong>=<em>votre-clé-api</em></div>' +
-      '<div>export <strong>SCRIBE_IA_MODEL</strong>=<em>nom-du-modèle (optionnel)</em></div>' +
-    '</div>' +
-    '<div id="ia-config-key-section" style="margin-top:12px">' +
-      '<label style="font-family:var(--mono);font-size:9px;color:var(--muted);letter-spacing:1px;display:block;margin-bottom:4px">CLÉ API (sauvegardée en variable d\'env temporaire)</label>' +
-      '<div style="display:flex;gap:8px">' +
-        '<input type="password" id="ia-config-key-input" placeholder="sk-... ou clé API" style="flex:1;font-family:var(--mono);font-size:10px;padding:6px 8px;background:var(--surface2);border:1px solid var(--border2);border-radius:4px;color:var(--text)">' +
-        '<button onclick="adminSaveIaKey(&quot;' + providerId + '&quot;)" style="font-family:var(--mono);font-size:10px;padding:6px 14px;background:#003189;color:#fff;border:none;border-radius:4px;cursor:pointer">Tester</button>' +
+    '<div id="ia-config-key-section">' +
+      '<label style="font-family:var(--mono);font-size:9px;color:var(--muted);letter-spacing:1px;display:block;margin-bottom:4px">' +
+        'CLÉ API' + (isLocal ? ' (optionnelle pour fournisseur local)' : ' (obligatoire)') + '</label>' +
+      '<input type="password" id="ia-config-key-input" placeholder="sk-... ou clé API" autocomplete="off" ' +
+        'style="width:100%;font-family:var(--mono);font-size:10px;padding:6px 8px;background:var(--surface2);' +
+        'border:1px solid var(--border2);border-radius:4px;color:var(--text);box-sizing:border-box;margin-bottom:10px">' +
+      '<label style="font-family:var(--mono);font-size:9px;color:var(--muted);letter-spacing:1px;display:block;margin-bottom:4px">' +
+        'MODÈLE (optionnel — laisser vide pour le défaut)</label>' +
+      '<input type="text" id="ia-config-model-input" placeholder="' + (defaultModel || 'défaut') + '" ' +
+        'style="width:100%;font-family:var(--mono);font-size:10px;padding:6px 8px;background:var(--surface2);' +
+        'border:1px solid var(--border2);border-radius:4px;color:var(--text);box-sizing:border-box;margin-bottom:10px">' +
+      (isLocal ?
+        '<label style="font-family:var(--mono);font-size:9px;color:var(--muted);letter-spacing:1px;display:block;margin-bottom:4px">' +
+          'URL DU SERVEUR LOCAL (optionnel)</label>' +
+        '<input type="text" id="ia-config-url-input" placeholder="http://localhost:11434/v1/chat/completions" ' +
+          'style="width:100%;font-family:var(--mono);font-size:10px;padding:6px 8px;background:var(--surface2);' +
+          'border:1px solid var(--border2);border-radius:4px;color:var(--text);box-sizing:border-box;margin-bottom:10px">'
+        : '') +
+      '<div style="display:flex;gap:8px;margin-top:6px;flex-wrap:wrap">' +
+        '<button onclick="adminTestIaKey(&quot;' + providerId + '&quot;)" ' +
+          'style="font-family:var(--mono);font-size:10px;padding:8px 14px;background:transparent;color:var(--text);' +
+          'border:1px solid var(--border2);border-radius:4px;cursor:pointer">🧪 Tester la clé</button>' +
+        '<button onclick="adminSaveIaConfig(&quot;' + providerId + '&quot;)" ' +
+          'style="font-family:var(--mono);font-size:10px;padding:8px 18px;background:#003189;color:#fff;' +
+          'border:none;border-radius:4px;cursor:pointer;font-weight:700">💾 Enregistrer & activer</button>' +
+        '<button onclick="adminResetIaConfig()" ' +
+          'style="font-family:var(--mono);font-size:10px;padding:8px 14px;background:transparent;color:#f87171;' +
+          'border:1px solid #f87171;border-radius:4px;cursor:pointer;margin-left:auto" ' +
+          'title="Supprime la clé sauvegardée et revient aux variables d\'environnement">' +
+          '🗑 Supprimer la config sauvegardée</button>' +
       '</div>' +
-      '<div id="ia-config-result" style="font-family:var(--mono);font-size:10px;margin-top:6px"></div>' +
+      '<div id="ia-config-result" style="font-family:var(--mono);font-size:10px;margin-top:10px"></div>' +
     '</div>';
 }
 
-async function adminSaveIaKey(providerId) {
+// v2.0.5 — Tester sans enregistrer (renommé pour clarté)
+async function adminTestIaKey(providerId) {
   const key = document.getElementById('ia-config-key-input')?.value?.trim();
   const res = document.getElementById('ia-config-result');
-  if (!key) { if(res) { res.style.color='#fbbf24'; res.textContent='⚠ Saisir une clé API'; } return; }
+  if (!key) { if(res) { res.style.color='#fbbf24'; res.textContent='⚠ Saisir une clé API à tester'; } return; }
   if(res) { res.style.color='var(--muted)'; res.textContent='⏳ Test de connexion…'; }
   try {
     const r = await apiFetch('/api/v1/admin/config/ia/test', {
@@ -5884,13 +5914,73 @@ async function adminSaveIaKey(providerId) {
     });
     const d = await r.json();
     if (d.ok) {
-      if(res) { res.style.color='#4ade80'; res.textContent='✓ Connexion OK — ' + (d.message||''); }
+      if(res) { res.style.color='#4ade80'; res.textContent='✓ Connexion OK — ' + (d.message||'') + ' · La clé n\'est PAS encore enregistrée, cliquez sur 💾 Enregistrer pour l\'activer'; }
+    } else {
+      if(res) { res.style.color='#f87171'; res.textContent='✗ ' + (d.detail||d.message||'Erreur'); }
+    }
+  } catch(e) { if(res) { res.style.color='#f87171'; res.textContent='Erreur réseau : ' + e.message; } }
+}
+
+// v2.0.5 — Enregistrer la config IA (avec persistance + reload à chaud)
+async function adminSaveIaConfig(providerId) {
+  const key   = document.getElementById('ia-config-key-input')?.value?.trim() || '';
+  const model = document.getElementById('ia-config-model-input')?.value?.trim() || '';
+  const url   = document.getElementById('ia-config-url-input')?.value?.trim() || '';
+  const res   = document.getElementById('ia-config-result');
+
+  const isLocal = providerId === 'ollama' || providerId === 'openai_compat';
+  if (!isLocal && !key) {
+    if(res) { res.style.color='#fbbf24'; res.textContent='⚠ Clé API obligatoire pour ce fournisseur'; }
+    return;
+  }
+
+  if(res) { res.style.color='var(--muted)'; res.textContent='⏳ Enregistrement…'; }
+  try {
+    const r = await apiFetch('/api/v1/admin/config/ia', {
+      method: 'POST',
+      headers: {'Content-Type':'application/json'},
+      body: JSON.stringify({provider: providerId, api_key: key, model: model, base_url: url})
+    });
+    const d = await r.json();
+    if (d.ok) {
+      if(res) {
+        res.style.color='#4ade80';
+        res.textContent='✓ ' + (d.message || 'Config IA enregistrée et activée');
+      }
+      // Vider le champ clé pour pas qu'elle traîne en clair dans le DOM
+      const keyInput = document.getElementById('ia-config-key-input');
+      if (keyInput) keyInput.value = '';
+      // Refresh du panneau actif après 800ms
+      setTimeout(() => loadAdminIA(), 800);
+    } else {
+      if(res) { res.style.color='#f87171'; res.textContent='✗ ' + (d.detail||d.message||'Erreur enregistrement'); }
+    }
+  } catch(e) { if(res) { res.style.color='#f87171'; res.textContent='Erreur réseau : ' + e.message; } }
+}
+
+// v2.0.5 — Supprimer la config IA persistée
+async function adminResetIaConfig() {
+  if (!confirm('Supprimer la configuration IA enregistrée ?\n\nL\'instance reviendra aux valeurs des variables d\'environnement (ou aux valeurs par défaut).')) return;
+  const res = document.getElementById('ia-config-result');
+  if(res) { res.style.color='var(--muted)'; res.textContent='⏳ Suppression…'; }
+  try {
+    const r = await apiFetch('/api/v1/admin/config/ia', {method: 'DELETE'});
+    const d = await r.json();
+    if (d.ok) {
+      if(res) { res.style.color='#4ade80'; res.textContent='✓ ' + (d.message || 'Config supprimée'); }
+      setTimeout(() => loadAdminIA(), 800);
     } else {
       if(res) { res.style.color='#f87171'; res.textContent='✗ ' + (d.detail||d.message||'Erreur'); }
     }
   } catch(e) { if(res) { res.style.color='#f87171'; res.textContent='Erreur réseau : ' + e.message; } }
 }
 
+// v2.0.5 — Stub conservé pour compatibilité descendante (au cas où des handlers
+// onclick="adminSaveIaKey(...)" subsistent dans du DOM ancien). Redirige vers test.
+async function adminSaveIaKey(providerId) {
+  return adminTestIaKey(providerId);
+}
+
 async function loadAdminRouting() {
   const box = document.getElementById('admin-routing-info');
   if (!box) return;

config.py

@@ -222,3 +222,68 @@ def get_ia_provider_config() -> dict:
     if IA["base_url"]: base["url"]      = IA["base_url"]
     base["provider"] = provider
     return base
+
+
+# ── v2.0.5 — Persistance config IA via fichier JSON ──────────────────────────
+# Permet à l'admin de sauvegarder provider/api_key/model/base_url depuis l'UI
+# sans redémarrer le process. Le fichier prime sur les variables d'env au boot,
+# et reload_ai_config() le relit à chaud après écriture.
+
+import json as _json
+
+_IA_CONFIG_PATH = os.path.join(os.path.dirname(__file__), "instance", "ia_config.json")
+
+
+def _load_persisted_ia() -> None:
+    """
+    Lit instance/ia_config.json si présent et applique provider/api_key/model/
+    base_url sur le dict IA. Silencieux si le fichier est absent ou corrompu —
+    on retombe sur les variables d'env / valeurs par défaut.
+    """
+    try:
+        if not os.path.exists(_IA_CONFIG_PATH):
+            return
+        with open(_IA_CONFIG_PATH, "r", encoding="utf-8") as f:
+            data = _json.load(f)
+        if not isinstance(data, dict):
+            return
+        for key in ("provider", "api_key", "model", "base_url"):
+            v = data.get(key)
+            if v is not None and isinstance(v, str):
+                IA[key] = v
+    except Exception:
+        # Échec silencieux — on n'empêche pas le boot si le JSON est cassé
+        pass
+
+
+def save_persisted_ia(provider: str, api_key: str = "",
+                      model: str = "", base_url: str = "") -> str:
+    """
+    Écrit instance/ia_config.json avec provider/api_key/model/base_url.
+    Met aussi à jour le dict IA en mémoire (pour ne pas avoir à reload).
+    Permissions 0600 sur le fichier (clé API = sensible).
+
+    Retourne le chemin du fichier écrit.
+    """
+    os.makedirs(os.path.dirname(_IA_CONFIG_PATH), exist_ok=True)
+    data = {
+        "provider": (provider or "").strip(),
+        "api_key":  (api_key  or "").strip(),
+        "model":    (model    or "").strip(),
+        "base_url": (base_url or "").strip(),
+    }
+    with open(_IA_CONFIG_PATH, "w", encoding="utf-8") as f:
+        _json.dump(data, f, indent=2, ensure_ascii=False)
+    try:
+        os.chmod(_IA_CONFIG_PATH, 0o600)
+    except Exception:
+        pass  # Windows ou FS sans support de chmod
+
+    # Met à jour le dict IA en mémoire immédiatement
+    for k, v in data.items():
+        IA[k] = v
+    return _IA_CONFIG_PATH
+
+
+# Appliquer la persistance au boot (une seule fois)
+_load_persisted_ia()