Drexo v0.3.0 — Rôles, portées, menus par rôle + personnalisation

Un gros chantier sur les droits et la navigation : le modèle d'accès devient lisible (capacité × portée), les organisations peuvent définir leurs propres rôles avec un menu dédié, la portée par étiquettes permet de cantonner un membre à certaines zones, et chacun peut enfin personnaliser sa barre latérale.

Points clés

• Accès = capacité × portée. Le rôle d'un membre se lit sur deux axes : la capacité (Admin, Opérateur, Lecteur) et la portée (toute l'organisation, ou des zones attribuées). Le sélecteur de rôle dans Paramètres → Membres reflète directement ces deux axes.
• Rôles personnalisés. Dans Paramètres → Rôles, créez des rôles propres à votre organisation (« Technicien Zone Nord », « Contact Mairie », « Analyste Facturation »). Chaque rôle repose sur une capacité et porte son propre menu.
• Menus par rôle. Dans Paramètres → Navigation, choisissez quels rôles voient chaque élément. La visibilité est de la curation de menu, pas un contrôle d'accès — voir « Migration ».
• Portée par étiquettes. Un membre en « zones attribuées » ne voit que les appareils portant les étiquettes que vous lui attribuez (depuis sa ligne dans Membres). Strictement borné à votre organisation.
• Personnalisation de la navigation. Survolez un tableau pour l'épingler en favori (il remonte en haut) ou le masquer pour vous. Ces préférences sont privées et n'affectent ni les autres membres ni les permissions.

Nouveautés

Rôles et permissions

• Nouveau modèle capacité (Admin / Opérateur / Lecteur) × portée (organisation / zones), dérivé sans rupture du vocabulaire de rôles existant.
• Nouvelle page Paramètres → Rôles : création, édition, suppression de rôles personnalisés (nom + capacité + portée par défaut). Supprimer un rôle ne retire pas l'accès des membres : ils retombent sur le menu de leur capacité.
• Affectation des rôles (intégrés ou personnalisés) depuis Paramètres → Membres.

Portée par étiquettes

• Attribuez une ou plusieurs étiquettes à un membre « zones attribuées » : il voit exactement les appareils portant ces étiquettes. Tant qu'aucune étiquette n'est attribuée, il ne voit aucun appareil.

Navigation par rôle + personnalisation

• Le masque de visibilité d'un élément se règle par rôle (intégrés et personnalisés) dans le constructeur de navigation.
• Favoris et masquer-pour-moi par utilisateur dans la barre latérale, avec un bouton pour réafficher les éléments masqués.

Sécurité

• Visibilité de navigation : durcissement. Les écritures de règles de visibilité passent désormais par des fonctions serveur qui dérivent l'organisation depuis le nœud concerné (impossible de cibler une autre organisation). Une faille de falsification inter-organisation a été fermée. La page du constructeur de navigation est réservée aux administrateurs.

Migration

Aucune action manuelle requise — tout est additif. Important sur la visibilité de navigation : masquer un élément à un rôle le retire de son menu, mais ne bloque pas l'accès à la ressource (qui dépend de la capacité × portée du membre). Si vous souhaitez restreindre l'accès, utilisez la portée (zones par étiquettes), pas le masquage de menu.