la_boucle_locale

La boucle locale — boucle.loretteville.ca

Programme d’achat local de Loretteville.ca. Ce dépôt est la seule source du site, du workflow n8n, de la structure de la base (data tables de n8n), des tests, du procédurier et de l’EFVP.

• Première mise en service : docs/MISE_EN_PLACE.md (guide pas à pas).
• Gestion courante, maintenance et dépannage : procedurier/Procedurier_La_boucle_locale.docx.
• Fonctionnement et règles : la suite de ce fichier.

Nouveautés de la version 2.4 (1er novembre 2026)

• Carte du quartier en page d’accueil (boucle.loretteville.ca et boucle.loretteville.ca/carte) : elle remplace la carte interactive (carte.loretteville.ca, non redirigée). Commerces, services, parcs, curiosités et stationnements, visibles sans compte ; commerces avec promotion mis en évidence ; fiche avec promotions, nouvelles, stationnement le plus proche et deux itinéraires (vers le stationnement ou directement au commerce, la rue Racine étant parfois piétonne). Les visiteurs sont invités à s’inscrire ; les membres voient la disponibilité de leurs promotions et leur code. Les points se modifient dans la table Lieux de n8n (plan seulement, Leaflet et fond CARTO).
• Nouvelles des commerces : envoyées avec les promotions, dans le même formulaire et avec la même approbation. Un commerce qui n’a que des nouvelles est affiché dans « Commerces sans promotion » ; sans promotion ni nouvelles, il n’est plus affiché dans la boucle (son point reste sur la carte). Autorisation de publication demandée une fois au commerce.
• Corrections à l’approbation : le formulaire « Décider » contient les textes du commerce (Promotion 1, Promotion 2, Nouvelles), que vous pouvez corriger avant d’approuver ; la table reçoit le texte corrigé.
• Publications du mois : le 1er à 1 h, un visuel 1080 × 1350 (fond flouté Image_Fond, logo, promotions, adresse du commerce) et une légende par commerce pour Facebook et Instagram, et un billet de blogue (Google Docs, commerces en ordre aléatoire), dans le dossier Drive « Publications La boucle ». Rien n’est publié automatiquement. Les promotions 18 ans et plus n’y figurent jamais.
• Images dans Google Drive : logos, images de fond et images de la carte (workflow n8n/La_boucle_images.json, à lancer une fois après l’installation).

Comment les modifications sont publiées

1. Claude (ou vous) travaille sur une branche et ouvre une pull request. Les tests roulent automatiquement (onglet Checks).
2. Vous relisez le résumé et cliquez Merge. Rien n’est publié avant.
3. GitHub Actions (.github/workflows/deployer.yml) publie alors automatiquement :
   • site/ sur boucle.loretteville.ca, par GitHub Pages, directement depuis ce dépôt ;
   • le workflow dans votre n8n chez Hostinger, par l’API de n8n.
4. Les data tables ne sont jamais modifiées automatiquement. Si une version change leur structure, la pull request l’indique et sheet/MIGRATIONS.md décrit les colonnes à ajouter à la main dans n8n avant de fusionner.

Réglage unique du déploiement automatique

Dans ce dépôt : Settings → Pages → Source : GitHub Actions (domaine boucle.loretteville.ca), puis Settings → Secrets and variables → Actions → New repository secret :

Secret	Valeur
N8N_URL	https://n8n.srv747998.hstgr.cloud
N8N_API_KEY	Dans n8n : Settings → n8n API → Create an API key. GitHub n’a aucun accès à votre serveur : il envoie seulement le nouveau workflow à cette API de n8n, avec cette clé. Elle donne le contrôle des workflows : ne la mettez nulle part ailleurs, et remplacez-la si vous la croyez compromise. (L’API doit être active : variable N8N_PUBLIC_API_DISABLED absente ou false.)
N8N_WORKFLOW_ID	Identifiant du workflow, dans son adresse : …/workflow/<identifiant> (après le premier import manuel).

Le premier import du workflow se fait à la main (étape 3 ci-dessous) ; les mises à jour suivantes sont automatiques. Pour redéployer sans changement : onglet Actions → Déployer → Run workflow.

Modifications faites directement dans n8n

La synchronisation va du dépôt vers n8n. Pour qu’une modification faite à la main dans n8n ne soit jamais écrasée :

• avant chaque déploiement, GitHub relit le workflow dans n8n et le compare aux versions du dépôt. S’il a été modifié à la main, le déploiement s’arrête, l’export du workflow est enregistré sur une branche n8n-modifs-manuelles-… et une issue « Workflow n8n modifié à la main » vous avise (avec la liste des nœuds touchés) ;
• chaque matin (surveiller_n8n.yml), la même vérification signale une modification dans les 24 heures, même sans déploiement.
• le ménage que fait l’éditeur de n8n en enregistrant (valeurs par défaut retirées, options vides, notes, positions) n’est pas compté comme une modification ; le workflow d’alerte d’erreur choisi dans n8n est conservé à chaque déploiement ; si n8n ne répond pas, le déploiement réessaie 3 fois puis s’arrête avec un message clair.

Ensuite, demandez à Claude de reporter les modifications de cette branche dans les sources ; fusionnez sa pull request et fermez l’issue. Pour au contraire annuler les modifications faites dans n8n : Actions → Déployer → Run workflow en cochant forcer.

Mettre La boucle en maintenance

Modifiez site/etat.json (sur GitHub : crayon ✏️ → Commit changes, sur une branche puis fusion, ou directement sur main) :

{ "maintenance": { "debut": "2026-11-12 21:00", "fin": "2026-11-12 23:00", "avis_jours": 7, "message": "Mise à jour du système." } }

Heures du Québec. Un bandeau avertit les clients et les commerçants pendant avis_jours ; pendant la période, un écran de maintenance remplace les pages et aucun appel n’est fait à n8n ; tout revient seul à l’heure de fin. Pour annuler : vider debut.

Contenu

• site/ : le site publié sur GitHub Pages (img/signature-loretteville.png : logo de la signature des courriels)
  • index.html (carte du quartier à l’accueil, inscription, connexion et profil), carte.html (la carte seule, /carte), carte.js et carte.css (la carte), commerce.html (espace commerçant), confidentialite.html (politique de confidentialité), concours.html (règlement du concours) ;
  • etat.json et maintenance.js : avis et mode maintenance ;
  • CNAME (boucle.loretteville.ca) ;
  • lib/ : bibliothèques et polices hébergées sur le site, sans aucun appel à unpkg, jsDelivr, cdnjs ou Google Fonts (lib/leaflet/ : Leaflet et markercluster ; lib/polices/ttf/ : IBM Plex Sans pour les visuels).
• n8n/La_boucle_locale_v2.json : le workflow à importer (22 webhooks, dont carte-donnees pour la carte publique, et 11 tâches planifiées : bascule, publications du mois, anonymisation, tirage du concours, rappels aux commerces, commentaires du vendredi, sauvegarde de nuit, surveillance du trafic, rapport hebdomadaire, et vos 2 flux de statistiques Google et CSV, conservés tels quels). Généré par n8n/build_workflow.py : ne pas le modifier à la main.
• n8n/La_boucle_alerte_erreurs.json : petit workflow qui vous envoie un courriel dès qu’une exécution échoue.
• n8n/La_boucle_images.json : workflow à lancer une fois après l’installation ; copie les images de l’ancienne carte dans Google Drive (« Images La boucle »).
• n8n/visuels/visuel_promo.py : le script Python des visuels du mois (Pillow), lancé sur le serveur par le nœud SSH « Publications – générer le visuel » (identifiant « SSH Password account ») ; n8n/lieux_initiaux.json : les 70 points de l’ancienne carte, copiés dans la table Lieux à l’installation.
• Base de données : les data tables de n8n, sur votre serveur Hostinger (Boston). Leur structure est définie dans n8n/tables.py (10 tables : Clients, Commerçants, Historique, Demandes, Journal, Infolettre, Participations, Concours, Lieux, Publications, toutes les colonnes en texte). Un commerce est identifié par son ID_Commerce permanent (COM-001…), attribué à l’installation ou à sa première connexion : son nom peut changer sans briser son historique. n8n/La_boucle_installation.json crée les tables et y copie le Google Sheet N8N_La_boucle_locale_v2, créé à partir du fichier Excel de migration (une seule fois ; l’ancien Sheet n’est pas utilisé). sheet/build_xlsx.py ne sert qu’à cette migration ; le fichier Excel produit contient des données et n’est jamais déposé ici.
• docs/MISE_EN_PLACE.md : le guide de mise en service.
• docs/EFVP.md : l’évaluation des facteurs relatifs à la vie privée (version officielle ; à imprimer pour la signature).
• procedurier/Procedurier_La_boucle_locale.docx : le procédurier complet (fonctionnement, procédures, maintenance planifiée, dépannage, Loi 25).
• n8n/code/, n8n/build_workflow.py, n8n/source_v1.json et tests/ : les sources des nœuds Code, le générateur du workflow et les tests automatisés (voir la section 13 du procédurier).
• procedurier/ : les sources du procédurier (facultatif ; le .docx se modifie directement dans Word).

Mise en place

Suivez docs/MISE_EN_PLACE.md, étape par étape (DNS, préparation des données, Google Cloud, n8n, ses data tables et sa clé d’API, GitHub et ses secrets, textes à compléter, fusion, tests, sécurité, lancement).

Sécurité et confidentialité (ajouts de cette version)

• Base de données : data tables de n8n, sur le serveur (plus d’API Google Sheets, donc plus de quota). Chaque nuit à 2 h 30 : recalcul de Total_Visites, Infolettre_Abonne et Nombre_Scan, puis sauvegarde (.zip d’un CSV par table, sans jetons de session) dans le dossier Google Drive « Sauvegardes La boucle », 30 jours conservés. Les pages se rafraîchissent aux 20 secondes en attente de confirmation et aux 30 secondes après un scan, puis s’arrêtent.
• Garde anti-abus : chaque webhook passe d’abord par un compteur par adresse IP (120 appels par 10 minutes, puis blocage sans lecture Google). La tâche « Surveillance » vous écrit au-delà de 400 appels en 10 minutes, et le rapport du lundi résume la semaine et vérifie que la bascule et l’anonymisation ont bien eu lieu. S’il n’arrive pas un lundi, le workflow est arrêté.
• Connexion : blocage de 15 minutes après 5 mots de passe erronés ; mot de passe de 8 caractères minimum pour tous (clients et commerces).
• Sessions : expiration après 1 an (clients) ou 6 mois (commerces), et boutons « Déconnecter tous mes appareils » et « Déconnecter tous les terminaux du commerce ».
• Courriels : au plus 3 codes ou liens par heure pour une même adresse, et 20 inscriptions au plus par 10 minutes. Les adresses dont le format pourrait devenir une formule à l’ouverture d’un CSV sont refusées. Les courriels aux clients et aux commerces partent de info@loretteville.ca (SMTP de Hostinger), avec la signature de Loretteville.ca et une mention discrète « envoyé automatiquement à la suite d’une demande » ou « après approbation de l’équipe de Loretteville.ca ». Vos approbations, les alertes et le rapport restent dans Gmail.
• Confirmation : l’adresse courriel doit être confirmée avant que le code soit affiché ; les adresses jetables et les alias Gmail sont refusés.
• Pages : une politique de sécurité du contenu (CSP) limite les échanges au seul serveur n8n, et le site ne fait aucun appel à des tiers, hormis les images sur Google Drive et le fond de plan de la carte (CARTO). La position du visiteur (« Me localiser ») reste dans son navigateur.
• Loi 25 :
  • bouton « Supprimer mon compte » (anonymisation immédiate) ;
  • anonymisation automatique le 1er du mois des comptes inactifs depuis 24 mois et des comptes jamais confirmés après 30 jours ;
  • politique de confidentialité publiée et liée à l’inscription ;
  • évaluation des facteurs relatifs à la vie privée : docs/EFVP.md.

Envois automatiques et approbations

| Courriel | Destinataire | Part… | |—|—|—| | Bienvenue, confirmation, codes, mot de passe | client ou commerce qui l’a demandé | immédiatement (action de la personne) | | Promotion (et nouvelles) approuvée / refusée | commerce | après votre décision (avec le texte final, et une note s’il a été corrigé) | | Trousse de publications du mois | vous | le 1er, automatiquement (rien n’est publié sans vous) | | Coordonnées du commerce (invitation à le contacter) | client | après votre approbation | | Rappels de promotions (J-14, J-4) | commerces sans soumission | seulement si vous approuvez (sinon rien après 2 jours) | | Commentaires du vendredi | commerces | seulement si vous approuvez (sinon rien après 2 jours) | | Gagnant du concours | gagnant | seulement si vous approuvez (sinon rien après 7 jours) | | Rapport du lundi, alertes de trafic, erreurs | vous | automatiquement |

Si personne n’approuve plus rien, le système cesse de solliciter les commerces et les clients.

Concours mensuel (« Mes chances ce mois-ci »)

1 participation par membre confirmé ; +1 par commerce visité par jour (avec ou sans promotion) ; +1 par commentaire approuvé ; +1 par Tournée locale (3 commerces le même jour) ; +2 Explorateur (5 commerces différents dans le mois) ; +1 Habitué (une visite chacun des 3 derniers mois). Les seuils sont dans CONCOURS (n8n/code/_commun.js). Tirage pondéré le 1er à 00 h 30, consigné dans la table Concours ; vous approuvez avant que le gagnant soit avisé. Les participations sans achat reçues par courriel ou par la poste s’inscrivent à la main dans la table Participations (2 par texte). Une personne qui ne veut pas participer : Concours = Non dans Clients.

Règles programmées

• Fréquences :
  • mensuelle, aux deux semaines (14 jours) ou hebdomadaire (7 jours) ;
  • si la prochaine date tombe le mois suivant, la promotion est bloquée jusqu’à la fin du mois ;
  • les compteurs repartent à zéro le 1er.
• Mois prochain :
  • les commerces soumettent leurs promotions et leurs nouvelles dans les 14 derniers jours du mois (au moins l’une ou l’autre) ;
  • les commerces qui n’ont rien soumis reçoivent deux rappels, 14 jours puis 4 jours avant la fin du mois, après votre approbation ;
  • les promotions basculent le 1er à 00 h 05 ;
  • sans soumission, le commerce n’a plus ni promotion ni nouvelles et n’est plus affiché aux clients (son point reste sur la carte) ;
  • avec seulement des nouvelles, il est affiché dans la section « Commerces sans promotion ».
• « Se termine bientôt » : affiché aux clients dans les 5 derniers jours, sauf si la même promotion revient le mois suivant.
• Âge :
  • inscription dès 14 ans ;
  • les promotions 18 ans et plus sont cachées aux 14 à 17 ans et refusées au scan ;
  • les 14 à 17 ans indiquent leur mois et année de naissance : le compte passe seul aux 18 ans et plus le mois qui suit leurs 18 ans, puis ce mois est effacé (nettoyage du 1er).
• Commentaires :
  • un par visite, publiés après votre approbation ;
  • publiquement, prénom et initiale du nom de famille seulement ;
  • votre décision : publier, ne pas publier, ou litige (transmis en privé au commerce, jamais avec le courriel du client) ;
  • litige : le commerce peut demander à joindre le client (le client reçoit ses coordonnées après votre approbation), puis rédige une réponse qui explique comment il a réglé la situation ; quand vous approuvez cette réponse, le commentaire et la réponse deviennent publics ;
  • commentaire publié : le commerce peut répondre une fois (publiée sous le commentaire après votre approbation, pas de réponse à la réponse) et inviter le client à le contacter ;
  • aucun courriel au commerce à chaque commentaire : un résumé le vendredi, après votre approbation.
• Infolettre : table Infolettre = liste complète des abonnés. Proposée seulement aux non-abonnés : case à l’inscription, carte dans le profil (pas avant 30 jours après un « Non merci »), et après chaque commentaire.

Pour que les courriels n’arrivent pas dans les pourriels

1. Envoyer depuis votre domaine : c’est fait (info@loretteville.ca, SMTP de Hostinger). Vérifiez que SPF, DKIM et DMARC sont configurés pour loretteville.ca (hPanel → Courriels).
2. Séparer les envois : garder les courriels transactionnels (codes, bienvenue, approbations) à part de l’infolettre.
3. Courriels déjà ajustés dans le workflow :
   • un nom d’expéditeur toujours identique ;
   • l’expéditeur et l’adresse de réponse sont info@loretteville.ca, avec votre signature ;
   • le code de vérification est placé dans l’objet ;
   • aucun emoji ni lien raccourci ;
   • une limite de 3 envois par heure par adresse.
4. Infolettre : elle doit contenir une adresse postale et un lien de désabonnement (LCAP).

Licences

• QRious : GPL v3 ; html5-qrcode : Apache 2.0 ; Chart.js : MIT. Leurs avis de licence sont conservés en tête de fichier.
• Leaflet : BSD 2-Clause ; Leaflet.markercluster : MIT (fichiers de licence dans site/lib/leaflet/). Fond de plan : © OpenStreetMap contributors, © CARTO (mention affichée sur la carte).
• Roboto et IBM Plex Sans : SIL Open Font License 1.1 (site/lib/polices/ttf/OFL-IBM-Plex.txt).