Périgée, en une page

Le périgée est le point d'une orbite le plus proche de la Terre. Périgée est le point d'Orbite le plus proche des personnes : ce que l'équipe choisit de leur transmettre, sur leur téléphone, et rien de plus.

Comment ça se tient

Instance Orbite « Le Cube »                               Périgée (un seul, pour tous les organismes)
┌─────────────────────────────────┐   HTTPS, sortant      ┌─────────────────────────────────────────┐
│ Orbite.API + service            │ ────────────────────► │ instances · personnes · liens · envois  │
│  portail_lien, portail_envoi    │  invitations, envois, │ file d'événements par instance          │
│  relais de fond (file, réessais)│  révocations          │ contenu chiffré, effacé après traitement│
│                                 │ ◄──────────────────── │ journal d'audit                         │
│  Blazor : section « Portail »   │  GET /evenements      └───────────────────┬─────────────────────┘
│  du dossier, « Envois au portail»│  (vu, signé, remis…)                     │ site public
└─────────────────────────────────┘                                            ▼
   × 50 instances, chacune pour soi                          la personne, sur son téléphone
   Périgée n'appelle jamais une instance.                    Orbite.Login enrôle chaque instance (sa clé).

Ce que Périgée connaît

Des instances : un code, un nom, un logo, une clé publique.
Des personnes : un prénom qu'elles choisissent, un courriel ou un cellulaire vérifié.
Des liens : (instance, identifiant créé par Orbite), un libellé, un rôle, un état.
Des envois : ce qu'un intervenant a transmis, le temps que ce soit traité.

Ce qu'il ne reçoit jamais

Le nom complet et la date de naissance de la personne du dossier.
L'identifiant du dossier, le programme, le séjour, le lit.
Les notes, les évaluations, les diagnostics, la médication nommée.
Une adresse d'API Orbite : il ne peut appeler personne.

La clé du lien

Le courriel n'est pas la clé : il change, il se partage, il se tape mal. La clé est l'identifiant du lien, créé par Orbite au moment d'inviter, opaque pour Périgée. Périgée le range sous l'instance qui l'a envoyé ; Orbite le range sous le dossier et le contact. Chacun ne connaît que sa moitié.

	Orbite (l'instance)	Périgée
Le dossier	oui	jamais : seulement l'identifiant du lien
Le lien	oui, avec son dossier et son rôle	oui, avec son instance et sa personne
La personne (le compte)	non, pas nécessaire	oui
Le courriel	dans la coordonnée ou le contact du dossier	vérifié par le code, modifiable par la personne

Inviter, en cinq pas

Dans le dossier, l'intervenant choisit la personne, ou un contact dont le consentement à partager est au dossier.
Orbite crée portail_lien et demande un lien à Périgée : identifiant, libellé, rôle, moyen de joindre.
Périgée envoie un code à 8 caractères à ce moyen de joindre. Pas de lien cliquable porteur du code : un code tapé sur un site qu'on connaît s'hameçonne moins.
La personne entre le code ; si c'est son premier lien, son compte se crée là. Aucune inscription libre.
Périgée émet « lien accepté » ; Orbite passe le lien à actif et l'écrit dans les nouvelles du dossier.

Ce qui protège les personnes

Si…	alors…
la base de Périgée fuit	elle ne contient que des références opaques, des prénoms, des moyens de joindre, et des envois chiffrés qui s'effacent 30 jours après traitement
une instance Orbite est compromise	elle n'a qu'une clé, la sienne ; Périgée ne lui laisse toucher qu'à ses propres liens ; Orbite.Login la révoque
Périgée est compromis	il ne détient que des clés publiques et aucune adresse d'API : il ne peut rien demander à aucune instance
quelqu'un devine un compte	pas d'inscription libre ; code à un moyen vérifié, clé d'accès ; 5 échecs = 15 minutes ; avis à chaque nouvel appareil
l'intervenant se trompe de personne	le code ne part qu'au moyen de joindre du dossier, avec consentement ; le dossier montre qui est lié ; révocation d'un clic
une notification est lue par un tiers	elle ne dit jamais le titre ni le contenu : « du nouveau sur Périgée »
Périgée tombe en panne	Orbite garde ses envois en file et ses états chez elle ; rien ne bloque le travail des intervenants

Par étapes

Prototype

Web seulement, téléphone d'abord
Inviter et lier ; révoquer
Messages de l'organisme vers la personne, pas l'inverse
Documents à consulter
Rendez-vous, rappels, confirmation

Aucune donnée n'entre dans Orbite depuis Périgée, sauf des états.

Phase 2 après confirmation

Formulaires courts sur les champs Info ; coordonnées à vérifier. Toujours une proposition que l'intervenant accepte.
Documents à signer, avec dossier de preuve, après l'avis juridique
État de compte et rappel ; aucun paiement en ligne
Rappels de médication, sans nommer le produit ; signature à la distribution, à définir

Analyse complète : Docs/Analyse-Portail-Client.md et plan : Docs/Plan-Portail.md dans le dépôt d'Orbite 3. Ce site est en Blazor rendu côté serveur, sans circuit ni DevExpress.