Configurer les notifications Firebase

Procédure exclusivement manuelle

Ces opérations sont réalisées par une personne mandatée côté client dans les consoles Google Cloud et Firebase. Le code, les scripts du dépôt et les agents de développement ne créent pas les comptes, projets, clés ou secrets décrits ci-dessous.

Cette procédure est à rejouer pour chaque environnement. Un projet Firebase ne doit jamais être partagé entre développement, préproduction et production.

Répartir les responsabilités

• Le client crée ou ouvre le compte Google avec l'adresse Gmail convenue.
• Le client donne à l'exploitant l'accès nécessaire au projet Firebase.
• L'exploitant installe les variables dans le .env du serveur concerné.
• Le développeur ne reçoit que les valeurs publiques si elles sont nécessaires au diagnostic. Le JSON du compte de service reste dans le coffre de secrets du client et dans le .env de l'environnement.

Créer le projet et l'application Web

1. Ouvrez la console Firebase avec le compte client.
2. Cliquez sur Créer un projet et donnez-lui un nom qui porte l'environnement, par exemple apajh-gta-dev ou apajh-gta-preprod.
3. N'activez Google Analytics que si le client en a explicitement validé l'usage.
4. Dans Vue d'ensemble du projet, cliquez sur Ajouter une application, puis choisissez l'icône Web </>.
5. Nommez l'application avec l'environnement. L'hébergement Firebase n'est pas utilisé : ne l'activez pas.
6. Relevez dans la configuration Web SDK les valeurs apiKey, projectId, messagingSenderId et appId.
7. Placez-les respectivement dans VITE_FIREBASE_API_KEY, VITE_FIREBASE_PROJECT_ID, VITE_FIREBASE_MESSAGING_SENDER_ID et VITE_FIREBASE_APP_ID du .env de l'environnement.

Ces quatre valeurs sont publiques par conception. Elles ne donnent pas accès au compte de service et ne remplacent aucune règle de sécurité côté serveur.

Activer Cloud Messaging et créer la clé VAPID

1. Dans Paramètres du projet ▸ Cloud Messaging, vérifiez que l'API Firebase Cloud Messaging est active.
2. Dans Configuration Web, créez une paire de clés sous Certificats Web Push si aucune clé n'existe pour cet environnement.
3. Copiez uniquement la clé publique dans VITE_FIREBASE_VAPID_KEY.
4. Conservez la clé privée gérée par Firebase. Ne la copiez ni dans le dépôt ni dans un ticket.

Restreindre la clé API publique

1. Ouvrez Google Cloud Console ▸ API et services ▸ Identifiants pour le projet courant.
2. Ouvrez la clé qui correspond à VITE_FIREBASE_API_KEY.
3. Sous Restrictions relatives aux applications, choisissez Sites Web.
4. Ajoutez les origines HTTPS exactes du frontend de cet environnement.
5. Sous Restrictions relatives aux API, limitez la clé aux API Firebase réellement activées pour cette application.
6. Enregistrez et vérifiez la cloche après propagation de la restriction.

Ne réutilisez pas une origine de développement dans la liste de préproduction ou de production.

Créer le compte de service d'envoi

1. Ouvrez Google Cloud Console ▸ IAM et administration ▸ Comptes de service.
2. Créez un compte dédié, par exemple apajh-gta-fcm-sender.
3. Attribuez-lui le rôle Administrateur de l'API Firebase Cloud Messaging (roles/firebasecloudmessaging.admin). N'attribuez pas les rôles Propriétaire ou Éditeur.
4. Ouvrez le compte créé, puis Clés ▸ Ajouter une clé ▸ Créer une clé ▸ JSON.
5. Téléchargez le fichier une seule fois sur un poste d'administration sécurisé.
6. Enregistrez le fichier dans le coffre de secrets du client avec le projet, l'environnement, le responsable et la date de création.

Encoder et installer le secret

Depuis PowerShell, placez le chemin réel du fichier JSON dans la commande suivante. Elle copie la valeur Base64 dans le presse-papiers sans l'écrire dans un second fichier :

$serviceAccountPath = 'C:\chemin\securise\firebase-service-account.json'
[Convert]::ToBase64String([IO.File]::ReadAllBytes($serviceAccountPath)) |
  Set-Clipboard

1. Collez la valeur dans FIREBASE_SERVICE_ACCOUNT_B64 du .env du serveur.
2. Supprimez le fichier téléchargé du poste après confirmation de sa présence dans le coffre de secrets.
3. Ne collez jamais cette valeur dans Git, un ticket, un message ou un journal.
4. Rebuild/recréez frontend, backend et worker pour charger toutes les valeurs publiques et le secret.

Vérifier l'installation réelle

1. Servez le frontend en HTTPS sur son nom de domaine définitif.

2. Connectez-vous avec un compte de recette.

3. Ouvrez la cloche et activez Autoriser les notifications navigateur.

4. Acceptez la demande du navigateur. Rechargez la page et vérifiez que l'activation reste affichée.

5. Dans le conteneur backend, exécutez :

   python manage.py send_test_notification <nom-utilisateur>

6. Vérifiez que la notification apparaît dans la cloche.

7. Fermez l'onglet sans arrêter le navigateur, relancez la commande et vérifiez la notification système.

8. Activez un second navigateur pour le même compte et vérifiez que les deux reçoivent le message.

9. Révoquez l'autorisation sur un navigateur, relancez un envoi et vérifiez que l'autre navigateur reçoit toujours le message. Le premier appareil est supprimé automatiquement après le rejet renvoyé par Firebase.

Le push Web FCM de ce lot cible les navigateurs compatibles hors Safari/iOS.

Faire tourner ou révoquer la clé

1. Créez une nouvelle clé JSON sur le même compte de service.
2. Stockez-la dans le coffre et remplacez FIREBASE_SERVICE_ACCOUNT_B64.
3. Recréez backend et worker.
4. Validez un envoi avec send_test_notification.
5. Supprimez l'ancienne clé dans Google Cloud seulement après ce contrôle.
6. En cas de soupçon de fuite, désactivez immédiatement la clé concernée, installez une nouvelle clé et contrôlez les journaux d'audit Google Cloud.

À la suppression définitive d'un environnement, supprimez son projet Firebase après export des éléments d'audit requis par le client.