docs: replace JWT-like Bearer placeholder with <license-token> #191

Merged

maximus merged 1 commit from issue-181-doc-bearer-token-placeholder into main

2026-05-02 20:10:57 +00:00

maximus commented

2026-05-02 20:05:38 +00:00

Owner

Fixes #181

Diagnostic

Defenseur run du 2026-04-30 a flag docs/api-contract-prices.md:471 (HIGH, categorie secrets) sur le pattern Bearer Token. La chaine est un exemple JWT tronque (... final), pas un secret reel — l'entropie suffit pour faire match le scanner.

Fix

- Authorization: Bearer eyJhbGciOiJFZERTQSIsInR5cCI6IkpXVCJ9...
+ Authorization: Bearer <license-token>

1 ligne dans docs/api-contract-prices.md. Pas de changement de comportement utilisateur, donc pas d'entree CHANGELOG.

Verification

grep -rn 'Bearer eyJ' docs/ src/ : 0 hit apres le fix.
Pas de logique touchee : tests non re-executes (doc-only change, surface non testable).

Note

L'autre faux positif mentionne dans le body (balance.service.ts:1332 sur auth: "balance.priceFetching.errors.authFailed") est explicitement hors scope ici — issue separee cote agent-defenseurs pour durcir la regex Generic Token Assignment.

Fixes #181 ## Diagnostic Defenseur run du 2026-04-30 a flag `docs/api-contract-prices.md:471` (`HIGH`, categorie `secrets`) sur le pattern `Bearer Token`. La chaine est un exemple JWT tronque (`...` final), pas un secret reel — l'entropie suffit pour faire match le scanner. ## Fix ```diff - Authorization: Bearer eyJhbGciOiJFZERTQSIsInR5cCI6IkpXVCJ9... + Authorization: Bearer <license-token> ``` 1 ligne dans `docs/api-contract-prices.md`. Pas de changement de comportement utilisateur, donc pas d'entree CHANGELOG. ## Verification - `grep -rn 'Bearer eyJ' docs/ src/` : 0 hit apres le fix. - Pas de logique touchee : tests non re-executes (doc-only change, surface non testable). ## Note L'autre faux positif mentionne dans le body (`balance.service.ts:1332` sur `auth: "balance.priceFetching.errors.authFailed"`) est explicitement hors scope ici — issue separee cote `agent-defenseurs` pour durcir la regex `Generic Token Assignment`.

maximus added 1 commit 2026-05-02 20:05:39 +00:00

docs: replace JWT-like Bearer placeholder with <license-token> (#181 )

PR Check / rust (pull_request) Successful in 22m12s

Details

PR Check / frontend (pull_request) Successful in 2m29s

Details

7f5e5a8c71

Defenseur secrets-scanner false positive: the truncated example token
in api-contract-prices.md:471 passed the entropy threshold for the
"Bearer Token" pattern. Swap for an explicit <license-token>
placeholder so the next defenseur run no longer flags it.

No user-visible behavior change — doc placeholder only, no CHANGELOG.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

maximus added the

status:review

type:security

labels 2026-05-02 20:05:49 +00:00

maximus commented

2026-05-02 20:07:43 +00:00

Author

Owner

Review — APPROVE

Summary: Fix doc-only minimal qui remplace un JWT-exemple tronque par un placeholder <license-token> plus explicite. Resout le faux positif secrets/HIGH du Defenseur sans introduire de regression.

Notes positives

Le placeholder <license-token> est plus parlant que eyJ... pour le lecteur de la doc
Scope serre : 1 ligne, 1 fichier, pas de couplage
L'autre faux positif (balance.service.ts:1332) explicitement reporte hors scope dans le PR body : bonne hygiene
Verification post-fix : grep 'Bearer eyJ' et grep 'eyJ' dans docs/ + src/ retournent zero hit

Checklist

Security : pas de secret reel, fix reduit le risque de match scanner
Correctness : placeholder coherent avec le contexte API license-based
Tests : doc-only, pas de surface testable (justifie dans le PR body)
Quality : changement minimal
Data : aucun changement BDD/migration
Conventional commit : docs: conforme
Reference issue : Fixes #181

Mergeable.

## Review — APPROVE **Summary**: Fix doc-only minimal qui remplace un JWT-exemple tronque par un placeholder `<license-token>` plus explicite. Resout le faux positif `secrets/HIGH` du Defenseur sans introduire de regression. ### Notes positives - Le placeholder `<license-token>` est plus parlant que `eyJ...` pour le lecteur de la doc - Scope serre : 1 ligne, 1 fichier, pas de couplage - L'autre faux positif (`balance.service.ts:1332`) explicitement reporte hors scope dans le PR body : bonne hygiene - Verification post-fix : `grep 'Bearer eyJ'` et `grep 'eyJ'` dans `docs/` + `src/` retournent zero hit ### Checklist - [x] Security : pas de secret reel, fix reduit le risque de match scanner - [x] Correctness : placeholder coherent avec le contexte API license-based - [x] Tests : doc-only, pas de surface testable (justifie dans le PR body) - [x] Quality : changement minimal - [x] Data : aucun changement BDD/migration - [x] Conventional commit : `docs:` conforme - [x] Reference issue : `Fixes #181` Mergeable.

maximus merged commit e7e02d636c into main

2026-05-02 20:10:57 +00:00

maximus deleted branch issue-181-doc-bearer-token-placeholder

2026-05-02 20:10:57 +00:00

maximus referenced this pull request from a commit

2026-05-02 20:10:58 +00:00

Merge PR #191: docs replace JWT-like Bearer placeholder with <license-token> (#181)

No reviewers