Le code que vous montrez à l'entrée

Journal de développeur · 06

Après la réputation et la messagerie, voici la pièce physique du dispositif : le code que vous présentez, et celui qu'on scanne à la porte. Deux mécaniques bien distinctes qui utilisent le même geste, et que nous avons pris soin de ne jamais confondre.

Ce que le code ne contient pas

Commençons par là, puisque c'est le point le plus important. Votre code personnel ne contient ni votre pseudo, ni votre e-mail, ni votre statut de santé, ni un lien vers votre profil. C'est une chaîne opaque, sans signification, qui ne sert qu'à retrouver une ligne en base, et seulement pour qui a le droit de la lire.

Conséquence directe : une capture d'écran de votre code, publiée par erreur, ne révèle rien sur vous. Elle permet au mieux à un membre déjà bien noté du Cercle de vous accorder une recommandation, ce qui vous avantage. Un code qui, s'il fuite, ne peut que vous être favorable : c'est le seul niveau de risque acceptable pour quelque chose qu'on montre à des inconnus dans une entrée d'immeuble.

La Toile de Confiance : trois scans

La certification n'est pas accordée par nous. Elle se gagne auprès des autres membres : trois recommandations par scan, et le profil devient certifié. Pas de pièce d'identité envoyée à une équipe, pas de validation administrative. La confiance est distribuée par ceux qui la portent déjà.

Avec deux garde-fous. Se certifier soi-même est refusé, évidemment. Et surtout, seuls les membres à partir d'Argent peuvent recommander : un compte Initiation ou Bronze n'a pas ce pouvoir. Sans cette règle, trois comptes fraîchement créés se certifieraient mutuellement en cinq minutes, et la certification ne vaudrait rien.

Le plafond qui rend la certification obligatoire

Voici l'articulation la plus élégante du système, et elle tient en une ligne : un profil non certifié ne peut pas dépasser Argent, quel que soit son nombre de points. Vous pouvez accumuler d'excellentes évaluations, votre badge restera bloqué là tant que trois membres ne se sont pas portés garants.

Ce plafond n'efface rien : les points continuent de s'accumuler en coulisses. Le jour de la certification, le rang se recalcule et rattrape d'un coup ce qui était acquis. Nous n'avons pas voulu punir les non-certifiés, seulement dire que la réputation seule ne remplace pas une rencontre réelle. C'est aussi ce plafond qui a produit le bug d'ordre raconté à l'épisode 04 : un garde-fou trop zélé qui rabaissait le saut de rang qu'il était censé protéger.

On peut mériter des points tout seul. On ne peut pas se porter garant tout seul.

L'anti-ferme à points

Un nouveau membre part à zéro, ce qui pose un problème pratique : sans évaluation, personne ne l'invite ; sans invitation, aucune évaluation. Le scan sert donc aussi d'amorce, avec un bonus de points proportionnel au rang de celui qui scanne, jusqu'à un saut de deux paliers d'un coup pour un scan Platine ou Diamant.

Mais uniquement tant que le rôle scanné est encore au tout premier palier. Dès que vous passez Bronze, les scans suivants ne rapportent plus rien en points. La raison est écrite dans la migration en toutes lettres : sans cette borne, il suffirait de multiplier les scans entre amis pour fabriquer une réputation. L'amorce sert à démarrer, jamais à progresser.

L'autre scan : la porte

Le scan d'entrée est une mécanique entièrement séparée, et c'est volontaire. Il ne recommande personne, il ne donne pas de points : il constate une présence, avec un horodatage. Cette présence est la condition d'entrée de tout ce qui suit : l'évaluation, le débriefing, les succès. Sans elle, rien.

Elle ne s'accorde qu'une fois : un participant déjà scanné ne peut pas l'être à nouveau, la base refuse avec un message explicite. Et l'hôte ne peut pas déclarer une absence pour quelqu'un déjà scanné présent, car les deux états s'excluent mutuellement, vérifié côté serveur et non côté bouton.

L'absence que personne n'a besoin de déclarer

S'inscrire à une soirée et ne pas venir a un coût, parce que côté hôte cela veut dire une place bloquée et un équilibre cassé. Deux chemins mènent au même constat. L'hôte peut le déclarer à la main dès que la soirée a commencé. Pas avant : la base refuse de constater une absence à un événement qui n'a pas eu lieu. Et à défaut, une tâche horaire le constate d'elle-même : inscrit, jamais scanné, 48 heures après le début, absence.

La pénalité est légère et volontairement modeste : cinq points sur l'échelle Voyageur, avec sa ligne dans le journal de réputation, comme tout le reste. Pour une inscription en couple, elle s'applique à chaque membre individuellement, car l'entité couple sert à recevoir, pas à diluer une responsabilité.

Nous préférons l'automatisme au signalement : demander à un hôte de dénoncer ses absents, c'est lui faire porter un rôle de police qu'il n'a pas demandé. La base constate un fait (personne n'a scanné ce code) et en tire une conséquence bornée.

Sept jours pour évaluer, un rappel douze heures avant

Longtemps, l'évaluation n'avait aucune limite de temps : on pouvait noter une soirée six mois après. C'était une erreur de conception : une note portée de mémoire lointaine n'a pas la même valeur, et un système où l'ardoise ne se ferme jamais laisse tout le monde dans le flou.

La fenêtre se ferme donc sept jours après la soirée, et douze heures avant la clôture un rappel part. Mais un rappel utile, pas une relance générique : l'hôte reçoit la liste nominative des invités qu'il n'a pas encore notés, et chaque invité n'est relancé que s'il n'a pas noté l'hôte. Un drapeau garantit qu'il ne part qu'une seule fois, même si la tâche s'exécute toutes les demi-heures.

Détail qui compte : les commentaires libres sont plafonnés à cinq cents caractères et ne sont acceptés que sur les critères prévus. Un champ de texte ouvert dans un système de notation, sans borne, finit toujours par servir à autre chose qu'à noter.

Et quand vous partez

Puisque nous parlons d'identité, autant finir par la sortie. La suppression de compte, en libre-service dans les Paramètres, efface votre code, vos médias, vos abonnements de notification, vos disponibilités et l'intégralité de vos données personnelles et de santé, et neutralise définitivement l'accès : mot de passe rendu inutilisable, sessions détruites sur tous vos appareils.

Ce que nous ne faisons pas, et qui mérite une explication honnête : supprimer physiquement la ligne. Vos soirées passées portent les évaluations, les messages et les inscriptions d'autres membres ; effacer la ligne en cascade détruirait leurs données à eux. Nous anonymisons donc, et la ligne subsiste, vidée de tout contenu personnel, comme référence technique pour l'historique des autres. C'est le mécanisme d'effacement par anonymisation admis précisément dans ce cas de figure, et il est documenté dans le code plutôt que dans une page de conditions que personne ne lit.

Prochain épisode : la modération et les signalements, avec l'escalade, les paliers de sanction, et pourquoi un signalement ne se retourne jamais contre celui qui le porte.