AMYEVOLUTION — Mise en ligne sur hébergement mutualisé

1. Comprendre le projet

Le projet est fait de deux parties qui doivent tourner sur le même nom de domaine :

Comment les deux parties travaillent ensemble

• Chaque page de la boutique charge /api/v1/catalog.js (le catalogue venant de la base) puis js/data.js.
• Si le serveur répond : tout vient de la base (produits, commandes, clients, réglages, blog, coupons…). Tous les visiteurs voient la même chose.
• Si le serveur ne répond pas (fichiers ouverts seuls) : le site passe en mode démo. Les données restent dans le navigateur. Utile pour tester l'apparence, inutilisable pour vendre.
• Les adresses en /api/... sont toujours relatives au domaine : c'est pour cela que la boutique et Laravel doivent être sur le même domaine.

Arborescence finale visée chez l'hébergeur

/home/votrecompte/
├── amyevolution/              ← projet Laravel (PAS accessible depuis le web)
│   ├── app/  bootstrap/  config/  database/  routes/  resources/  storage/  vendor/
│   ├── .env                   ← vos réglages secrets
│   └── artisan
└── public_html/               ← racine web du domaine (= dossier public/ de Laravel)
    ├── index.php              ← porte d'entrée de Laravel (OBLIGATOIRE)
    ├── .htaccess              ← fusionné (voir section 10)
    ├── index.html, shop.html, product.html, admin.html … ← contenu de frontend/
    ├── css/  js/  icon/
    ├── storage → ../amyevolution/storage/app/public   ← lien des images importées
    ├── frontend/              ← copie de frontend/ (voir piège n°2)
    └── backend/login.html     ← page de connexion du back office

2. Prérequis de l'hébergement

Avant d'acheter ou de choisir une offre, vérifiez chaque ligne avec le support de l'hébergeur.

3. Outils sur votre ordinateur

4. Trois pièges à connaître avant de commencer

En lisant le code, trois points bloquent une installation « à la lettre » du fichier INSTALLATION.txt. Voici les solutions. Elles sont reprises dans les étapes suivantes.

5. Préparer le projet sur votre ordinateur

On prépare tout en local, puis on envoie le résultat. C'est plus sûr et plus rapide que de tout faire sur le serveur.

1Créer un projet Laravel neuf

composer create-project laravel/laravel amyevolution
cd amyevolution
php artisan install:api        # installe Laravel Sanctum (jetons de connexion) et active routes/api.php

Si la commande pose une question sur les migrations, répondez non : on lancera les migrations plus tard.

2Copier les fichiers du dossier backend/

Copiez dans le projet Laravel (en remplaçant les fichiers existants) :

3Supprimer les migrations d'origine de Laravel (piège n°3)

Dans database/migrations/, supprimez :

0001_01_01_000000_create_users_table.php
0001_01_01_000001_create_cache_table.php
0001_01_01_000002_create_jobs_table.php

Gardez la migration ..._create_personal_access_tokens_table.php ajoutée par Sanctum : celle du projet la détecte et ne la recrée pas. Il doit rester les 16 migrations 2025_01_01_0000xx_... du projet.

4Installer les dépendances pour la production

composer install --no-dev --optimize-autoloader

5Préparer le dossier public/

1. Dans public/ de Laravel, supprimez robots.txt et index.html s'ils existent (le robots.txt est généré par le serveur). Ne supprimez jamais index.php.
2. Copiez le contenu de frontend/ dans public/, sauf .htaccess.
3. Remplacez public/.htaccess par la version fusionnée de la section 10.
4. Piège n°2 : copiez aussi le dossier frontend/ complet dans public/frontend/, et créez public/backend/login.html (copie de backend/login.html).

6Remplacer le nom de domaine dans les pages fixes

Les pages Contact, FAQ, Blog, Livraison, Retours, Garantie, CGV, Mentions légales, Confidentialité et Cookies contiennent l'adresse https://www.amyevolution.tn/ (adresse officielle pour Google et aperçu sur les réseaux sociaux). Si votre domaine est différent, faites un « Rechercher / Remplacer dans les fichiers » avec VS Code dans public/.

6. Créer la base PostgreSQL

Avec cPanel (cas le plus courant)

1. cPanel > Bases de données PostgreSQL.
2. Créez une base, par exemple compte_amyevolution. Le préfixe du compte est ajouté automatiquement.
3. Créez un utilisateur avec un mot de passe solide (au moins 16 caractères).
4. Ajoutez l'utilisateur à la base avec tous les privilèges.
5. Notez : nom de la base, utilisateur, mot de passe, hôte (souvent localhost) et port (5432).

Avec un accès en ligne de commande (VPS ou base dédiée)

sudo -u postgres psql
CREATE USER amyevolution WITH PASSWORD 'un-mot-de-passe-tres-solide';
CREATE DATABASE amyevolution OWNER amyevolution ENCODING 'UTF8';
\q

7. Le fichier .env (tous les réglages)

Le fichier .env se trouve à la racine du projet Laravel. Il ne doit jamais être accessible depuis le web ni envoyé à qui que ce soit. Après chaque modification : php artisan config:clear (ou config:cache en production).

Modèle complet commenté

# ---------- Application ----------
APP_NAME="AMY EVOLUTION"
APP_ENV=production                 # production = robots.txt ouvert à Google, erreurs masquées
APP_KEY=                           # rempli par : php artisan key:generate  (NE JAMAIS LE CHANGER ENSUITE)
APP_DEBUG=false                    # true seulement pour chercher une erreur, puis remettre false
APP_URL=https://www.votre-domaine.tn   # adresse exacte, sans / final (sert aux emails et au SEO)
APP_LOCALE=fr
APP_TIMEZONE=Africa/Tunis

# ---------- Base PostgreSQL ----------
DB_CONNECTION=pgsql
DB_HOST=127.0.0.1                  # ou localhost, ou l'adresse de la base externe
DB_PORT=5432
DB_DATABASE=compte_amyevolution
DB_USERNAME=compte_amyuser
DB_PASSWORD=MOT_DE_PASSE_DE_LA_BASE
DB_SCHEMA=public
DB_SSLMODE=prefer                  # require pour une base externe chiffrée

# ---------- Sécurité (NOUVEAU V65) ----------
FORCE_HTTPS=true                   # http:// renvoie vers https:// (false = couper temporairement, ex. certificat en panne)
SESSION_SECURE_COOKIE=true         # cookie de connexion envoyé seulement en HTTPS
SESSION_HTTP_ONLY=true             # cookie illisible par JavaScript (protège contre le vol de session)
SESSION_SAME_SITE=lax              # bloque l'envoi du cookie depuis un autre site
SESSION_ENCRYPT=true               # contenu de la session chiffré en base
SESSION_LIFETIME=120               # déconnexion après 120 minutes d'inactivité
LOG_LEVEL=warning                  # journal sans détails inutiles
BCRYPT_ROUNDS=12                   # solidité du chiffrement des mots de passe

# ---------- Sessions, cache, file d'attente ----------
SESSION_DRIVER=database
CACHE_STORE=database               # OBLIGATOIRE (database ou redis) : sert à l'anti-rejeu des connecteurs API
QUEUE_CONNECTION=sync              # emails envoyés tout de suite ; une panne SMTP ne bloque jamais une commande

# ---------- Emails (peut être remplacé depuis le back office) ----------
MAIL_MAILER=smtp
MAIL_HOST=mail.votre-domaine.tn
MAIL_PORT=465
MAIL_ENCRYPTION=ssl
MAIL_USERNAME=contact@votre-domaine.tn
MAIL_PASSWORD=MOT_DE_PASSE_DE_LA_BOITE
MAIL_FROM_ADDRESS=contact@votre-domaine.tn
MAIL_FROM_NAME="${APP_NAME}"
MAIL_ADMIN_ADDRESS=                # reçoit les alertes « nouvelle commande / nouveau message » (vide = email boutique)

# ---------- Chatbot IA (facultatif) ----------
AI_API_KEY=                        # vide = chatbot local sans IA (aucune erreur)
AI_BASE_URL=https://api.openai.com/v1
AI_MODEL=gpt-4o-mini

# ---------- Boutique (config/shop.php) ----------
SHOP_NAME=AMYEVOLUTION
SHOP_TAGLINE="Électronique Premium en Tunisie"
SHOP_PHONE="+216 71 234 567"
SHOP_EMAIL=contact@votre-domaine.tn
SHOP_STREET="Centre Commercial Lac 2"
SHOP_CITY=Tunis
SHOP_POSTAL_CODE=1053
SHOP_SOCIAL_URLS=https://facebook.com/...,https://instagram.com/...
SHOP_LOGO=/icon/icon-512.png
SHOP_DEFAULT_IMAGE=/icon/icon-512.png
SHOP_CLEAN_URLS=true               # adresses propres /produit/..., /categorie/..., /marque/...
SHOP_FRONTEND_PATH=                # vide = dossier public/ de Laravel (voir section 9, cas public_html)
SHOP_FRONTEND_URL=/

# Livraison (le serveur recalcule toujours le total de la commande)
SHOP_SHIPPING_PRICE=7
SHOP_EXPRESS_PRICE=15
SHOP_FREE_SHIPPING_FROM=150
SHOP_RETURNS_DAYS=30

# Modes de paiement acceptés (false = retiré)
SHOP_PAY_COD=true                  # paiement à la livraison (choix par défaut)
SHOP_PAY_CARD=true
SHOP_PAY_D17=true
SHOP_PAY_FLOUCI=true
SHOP_PAY_VIREMENT=true

8. Installer la base et le premier administrateur

À lancer dans le dossier du projet Laravel, en local (si votre base locale est la même que celle du serveur) ou directement sur le serveur en SSH.

php artisan key:generate                       # une seule fois, au tout début
php artisan migrate --force                    # crée toutes les tables
php artisan db:seed --class=CatalogSeeder --force   # facultatif : produits de démonstration
php artisan db:seed --class=CouponSeeder --force    # facultatif : codes BIENVENUE10 et LIVRAISON
php artisan storage:link                       # rend visibles les images importées
php artisan amy:create-admin vous@votre-domaine.tn "Votre Nom"
# → le mot de passe est demandé (8 caractères minimum, lettre + chiffre), il ne s'affiche pas
# → la même commande remet un nouveau mot de passe si vous l'oubliez
php artisan config:cache
php artisan route:cache
php artisan view:cache

Tables créées par les migrations

9. Envoyer les fichiers chez l'hébergeur

Cas A — Vous pouvez choisir la racine du domaine (recommandé)

1. Envoyez tout le projet Laravel (avec vendor/) dans /home/votrecompte/amyevolution/, par SFTP ou en archive .zip à décompresser avec le gestionnaire de fichiers de cPanel.
2. cPanel > Domaines > votre domaine > Racine du document : amyevolution/public.

Cas B — Le domaine principal pointe obligatoirement vers public_html

1. Envoyez le projet Laravel dans /home/votrecompte/amyevolution/ (hors de public_html).
2. Déplacez le contenu de amyevolution/public/ dans public_html/.
3. Modifiez public_html/index.php : remplacez les chemins __DIR__.'/../ par __DIR__.'/../amyevolution/. Il y a 3 lignes à changer :

   if (file_exists($maintenance = __DIR__.'/../amyevolution/storage/framework/maintenance.php')) { ... }
   require __DIR__.'/../amyevolution/vendor/autoload.php';
   $app = require_once __DIR__.'/../amyevolution/bootstrap/app.php';

4. Indiquez à Laravel où se trouvent les pages HTML, dans le .env :

   SHOP_FRONTEND_PATH=/home/votrecompte/public_html

5. Dans amyevolution/bootstrap/app.php, indiquez le nouveau dossier public (sinon storage:link et certaines adresses visent le mauvais dossier). Remplacez return Application::configure(...) par $app = Application::configure(...), laissez tout le reste identique jusqu'à ->create();, puis ajoutez à la fin :

   $app->usePublicPath('/home/votrecompte/public_html');
   return $app;

6. Créez le lien des images en SSH :

   ln -s /home/votrecompte/amyevolution/storage/app/public /home/votrecompte/public_html/storage

   Sans SSH : créez une tâche cron unique avec cette même commande, puis supprimez-la.

Droits des dossiers

chmod -R 775 storage bootstrap/cache
chmod 640 .env

Variante sans accès SSH

• Faites composer install et toutes les commandes artisan sur votre ordinateur, avec un .env qui pointe vers la base du serveur, si l'hébergeur autorise la connexion à distance à PostgreSQL (cPanel > « PostgreSQL distant » ou « Remote Database Access »).
• Sinon, créez la base en local, exportez-la avec pgAdmin (format SQL), puis importez-la avec phpPgAdmin dans cPanel. L'administrateur créé en local est inclus dans l'export.
• Avant l'envoi, supprimez bootstrap/cache/config.php si vous avez fait config:cache en local : il contient les chemins de votre ordinateur.

10. Le fichier .htaccess (Apache)

Ce fichier remplace public/.htaccess (ou public_html/.htaccess). Il réunit les règles indispensables de Laravel et les règles de performance de la boutique (piège n°1).

Version V65 : copie exacte du fichier frontend/.htaccess livré dans l’archive (HTTPS forcé, fichiers sensibles bloqués, en-têtes de sécurité). Copiez le fichier tel quel plutôt que de le retaper.

# ============================================================
# AMYEVOLUTION — .htaccess (VERSION 47 : fusion Laravel + boutique)
# Peut maintenant écraser public/.htaccess de Laravel sans risque (piège n°1 réglé).
# Sans Laravel (dossier frontend seul, mode démo) : les règles Laravel sont ignorées
# automatiquement car index.php n'existe pas.
# ============================================================

DirectoryIndex index.php index.html

<IfModule mod_rewrite.c>
    <IfModule mod_negotiation.c>
        Options -MultiViews -Indexes
    </IfModule>
    RewriteEngine On

    # En-têtes d'autorisation (connexion admin, comptes clients, clés API)
    RewriteCond %{HTTP:Authorization} .
    RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
    RewriteCond %{HTTP:x-xsrf-token} .
    RewriteRule .* - [E=HTTP_X_XSRF_TOKEN:%{HTTP:X-XSRF-Token}]

    # VERSION 65 : HTTPS FORCÉ — un visiteur qui tape http:// est renvoyé vers https:// (redirection 301 définitive)
    # Fonctionne aussi derrière Cloudflare / un proxy (en-tête X-Forwarded-Proto).
    # Les adresses locales (localhost) ne sont pas redirigées, pour pouvoir tester sans certificat.
    RewriteCond %{HTTPS} !=on
    RewriteCond %{HTTP:X-Forwarded-Proto} !https [NC]
    RewriteCond %{HTTP_HOST} !^(localhost|127\.0\.0\.1)(:\d+)?$ [NC]
    RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

    # Facultatif : forcer aussi « www. » (une seule adresse pour Google). Retirez les # des 2 lignes :
    # RewriteCond %{HTTP_HOST} ^amyevolution\.tn$ [NC]
    # RewriteRule ^ https://www.amyevolution.tn%{REQUEST_URI} [L,R=301]

    # Fichiers cachés (.env, .git, .htpasswd…) : interdits, sauf .well-known (certificat SSL Let's Encrypt)
    RewriteRule (^|/)\.(?!well-known/) - [F,L]
    # Aucun script PHP ne peut s'exécuter depuis le dossier des images envoyées
    RewriteRule ^storage/.*\.(php\d?|phtml|phar)$ - [F,L,NC]

    # Les règles ci-dessous ne s'appliquent que si Laravel est présent (public/index.php)
    RewriteCond %{DOCUMENT_ROOT}/index.php !-f
    RewriteRule ^ - [L]

    # Pages SEO servies par Laravel (titre, description, données Google), même si le .html existe
    # VERSION 62 : les anciennes adresses .html des pages passent aussi par Laravel (redirection 301 vers /livraison, /contact…)
    RewriteRule ^(index|product|shop|page|blog|destockage|contact|faq|shipping|returns|warranty|cgv|legal|privacy|cookies)\.html$ index.php [L]

    # Retirer le / final
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteCond %{REQUEST_URI} (.+)/$
    RewriteRule ^ %1 [L,R=301]

    # Tout le reste : fichier existant, sinon Laravel (/api/..., /produit/..., /sitemap.xml, /robots.txt)
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteRule ^ index.php [L]
</IfModule>

# Interdire la lecture des fichiers sensibles (réglages, sauvegardes, bases, journaux, scripts)
<FilesMatch "^\.|^(artisan|composer\.(json|lock)|package(-lock)?\.json|INSTALLATION\.txt|env\.example\.txt)$|\.(log|sql|sqlite|bak|backup|old|orig|swp|ini|sh|zip|7z|tar|gz|rar)$">
    Require all denied
</FilesMatch>

# Masquer la version du serveur et de PHP
ServerSignature Off

# Compression des pages, scripts et styles (fichiers ~70 % plus légers)
<IfModule mod_deflate.c>
  AddOutputFilterByType DEFLATE text/html text/css text/plain application/javascript text/javascript application/json image/svg+xml application/manifest+json
</IfModule>
<IfModule mod_brotli.c>
  AddOutputFilterByType BROTLI_COMPRESS text/html text/css text/plain application/javascript text/javascript application/json image/svg+xml
</IfModule>

# Mise en cache navigateur : images 30 jours, CSS/JS 7 jours, pages HTML toujours fraîches
<IfModule mod_expires.c>
  ExpiresActive On
  ExpiresByType image/png "access plus 30 days"
  ExpiresByType image/jpeg "access plus 30 days"
  ExpiresByType image/webp "access plus 30 days"
  ExpiresByType image/avif "access plus 30 days"
  ExpiresByType image/svg+xml "access plus 30 days"
  ExpiresByType font/woff2 "access plus 1 year"
  ExpiresByType text/css "access plus 7 days"
  ExpiresByType application/javascript "access plus 7 days"
  ExpiresByType text/html "access plus 0 seconds"
</IfModule>

# Pages HTML, service worker et manifeste : toujours revérifiés (les nouvelles versions s'affichent tout de suite)
# CSS/JS : gardés en cache, mais chaque version porte un numéro (?v=47.0) qui force le rechargement
<IfModule mod_headers.c>
  <FilesMatch "\.(html|webmanifest)$|^sw\.js$">
    Header set Cache-Control "no-cache, must-revalidate"
  </FilesMatch>
  # ---- VERSION 65 : PROTECTIONS DU NAVIGATEUR ----
  Header always set X-Content-Type-Options "nosniff"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set X-Frame-Options "SAMEORIGIN"
  # HSTS : le navigateur retient d'utiliser TOUJOURS https:// pendant 1 an (envoyé seulement en HTTPS)
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains" "expr=%{HTTPS} == 'on' || %{HTTP:X-Forwarded-Proto} == 'https'"
  # Caméra, micro, paiement par navigateur… désactivés ; position autorisée seulement pour le site
  Header always set Permissions-Policy "camera=(), microphone=(), payment=(), usb=(), interest-cohort=(), geolocation=(self)"
  Header always set Cross-Origin-Opener-Policy "same-origin-allow-popups"
  Header always set X-Permitted-Cross-Domain-Policies "none"
  Header always unset X-Powered-By
  Header unset X-Powered-By
  # Politique de contenu : seules les sources utilisées par la boutique sont autorisées
  # (polices Google, Font Awesome, Swiper, Chart.js, cartes Google). Bloque les plug-ins, l'intégration
  # du site dans un autre site, et transforme automatiquement tout lien http:// restant en https://.
  Header always set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https://cdn.jsdelivr.net https://cdnjs.cloudflare.com; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com https://cdn.jsdelivr.net https://cdnjs.cloudflare.com; font-src 'self' data: https://fonts.gstatic.com https://cdnjs.cloudflare.com; img-src 'self' data: blob: https:; media-src 'self' https:; connect-src 'self' https:; frame-src 'self' https://www.google.com https://maps.google.com https://www.youtube.com https://www.youtube-nocookie.com; worker-src 'self'; manifest-src 'self'; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self'; upgrade-insecure-requests"
</IfModule>

Si l'hébergeur utilise Nginx

Nginx ne lit pas le fichier .htaccess. Le modèle complet est fourni dans docs/nginx-securite.conf : redirection http → https, redirection sans www → www, certificat Let’s Encrypt, en-têtes de sécurité et fichiers interdits. Remplacez le domaine, les chemins et la version de PHP, puis testez avec sudo nginx -t && sudo systemctl reload nginx. Même sans ce fichier, Laravel force le HTTPS et ajoute les en-têtes (fichier SecureHeaders.php).

# ============================================================
# AMYEVOLUTION — VERSION 65 : exemple nginx (HTTPS obligatoire + sécurité)
# À utiliser seulement si l'hébergeur fonctionne avec nginx (nginx ne lit pas le .htaccess).
# Remplacez les chemins et le domaine, puis : sudo nginx -t && sudo systemctl reload nginx
# ============================================================

# 1) Tout ce qui arrive en http:// part vers https:// (301 définitive)
server {
    listen 80;
    listen [::]:80;
    server_name amyevolution.tn www.amyevolution.tn;

    # Renouvellement du certificat Let's Encrypt
    location ^~ /.well-known/acme-challenge/ { root /var/www/letsencrypt; }

    location / { return 301 https://www.amyevolution.tn$request_uri; }
}

# 2) Sans « www » en https -> avec « www » (une seule adresse pour Google)
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name amyevolution.tn;
    ssl_certificate     /etc/letsencrypt/live/amyevolution.tn/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/amyevolution.tn/privkey.pem;
    return 301 https://www.amyevolution.tn$request_uri;
}

# 3) Le site
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name www.amyevolution.tn;
    root /var/www/amyevolution/public;
    index index.php index.html;

    ssl_certificate     /etc/letsencrypt/live/amyevolution.tn/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/amyevolution.tn/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers off;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    server_tokens off;
    client_max_body_size 8m;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    add_header Permissions-Policy "camera=(), microphone=(), payment=(), usb=(), interest-cohort=(), geolocation=(self)" always;

    # Fichiers cachés et sensibles interdits (sauf .well-known)
    location ~ /\.(?!well-known) { deny all; }
    location ~* \.(sql|sqlite|bak|backup|old|orig|swp|log|ini|sh|zip|7z|tar|gz|rar)$ { deny all; }
    location ~* ^/(artisan|composer\.(json|lock)|package(-lock)?\.json)$ { deny all; }
    # Aucun PHP dans le dossier des images envoyées
    location ~* ^/storage/.*\.(php\d?|phtml|phar)$ { deny all; }

    location / { try_files $uri $uri/ /index.php?$query_string; }

    location ~ \.php$ {
        include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
        fastcgi_param HTTPS on;
        fastcgi_pass unix:/run/php/php8.3-fpm.sock;
        fastcgi_hide_header X-Powered-By;
    }
}

11. HTTPS et nom de domaine

1Faire pointer le domaine

Chez le vendeur du domaine, faites pointer les DNS vers l'hébergeur (enregistrements A pour @ et www, ou les serveurs DNS de l'hébergeur). La propagation peut prendre de 1 à 24 heures.

2Activer le certificat SSL (Let's Encrypt, gratuit)

Test du renouvellement automatique (VPS) : sudo certbot renew --dry-run

3Vérifier le cadenas

Ouvrez https://www.votre-domaine.tn : le cadenas doit apparaître, sans alerte.

4Activer la redirection http → https (V65)

1. Envoyer le .htaccess V65 (section 10) dans public/ (ou public_html/). Les lignes « HTTPS FORCÉ » sont déjà actives.
2. Copier la rubrique « Sécurité » de backend/env.example.txt dans le .env du serveur (section 7).
3. .env : APP_URL doit être exactement l'adresse finale, avec https et www si vous l'utilisez.
4. php artisan config:clear && php artisan route:clear puis php artisan config:cache.
5. Facultatif : pour une seule adresse avec « www », retirer les # des 2 lignes « forcer aussi www » du .htaccess (adapter le domaine).

5Tester la redirection

# Doit répondre « 301 » et « Location: https://... »
curl -I http://www.votre-domaine.tn
curl -I http://www.votre-domaine.tn/shop.html

# Doit répondre « 200 » avec la ligne strict-transport-security
curl -I https://www.votre-domaine.tn

Sans terminal : tapez http://www.votre-domaine.tn dans le navigateur, l'adresse doit devenir https://. Puis notez la sécurité sur https://securityheaders.com (note A attendue) et https://www.ssllabs.com/ssltest/ (note A attendue).

12. Emails (SMTP)

Emails envoyés par le site

Les modèles d'emails se trouvent dans resources/views/emails/*.blade.php.

Réglages courants

Tester

php artisan amy:mail-test vous@gmail.com
# → « Email d'essai envoyé » ou l'erreur exacte du serveur SMTP

Pour tester sans rien envoyer : MAIL_MAILER=log. Les emails sont alors écrits dans storage/logs/laravel.log.

13. Tâche planifiée (cron)

Elle relance les envois automatiques ratés vers vos logiciels partenaires et nettoie le journal des connecteurs (journal API gardé 90 jours, envois gardés 30 jours).

cPanel > Tâches Cron > « Une fois par minute » (ou toutes les 5 minutes si l'offre l'impose) :

cd /home/votrecompte/amyevolution && /usr/local/bin/php artisan schedule:run >> /dev/null 2>&1

Le chemin de PHP varie selon l'hébergeur (/usr/local/bin/php, /opt/cpanel/ea-php83/root/usr/bin/php…). En SSH, la commande which php le donne. Vérifiez que c'est bien la version 8.2 ou plus.

Les articles de blog programmés n'ont pas besoin du cron : ils apparaissent tout seuls à leur date (dans les 5 minutes, à cause du cache).

14. Paiement en ligne (Flouci, Konnect, ClicToPay)

Par défaut, le paiement à la livraison fonctionne sans rien configurer. Le serveur recalcule toujours prix, stock, code promo, livraison et total : un client ne peut pas modifier les prix depuis son navigateur.

1. Ouvrez un compte marchand chez le prestataire. Le contrat et la validation peuvent prendre plusieurs jours.
2. Dans le back office : Paramètres > Paiement > Kits de paiement en ligne, collez les clés. Elles sont chiffrées sur le serveur et ne sont jamais renvoyées au navigateur.
3. Testez en mode test, avec une vraie commande de bout en bout.
4. Décochez le mode test et faites un vrai paiement de faible montant.

Au retour de la page du prestataire, le site appelle GET /api/v1/payments/verify : le serveur vérifie lui-même le paiement auprès du prestataire avant de marquer la commande comme payée. Un moyen de paiement en ligne n'apparaît au client que lorsque ses clés sont enregistrées.

Ajouter un autre prestataire : créer une classe qui implémente app/Payments/PaymentGateway.php et l'inscrire dans PaymentGatewayRegistry.php.

15. Chatbot IA (facultatif)

Sans réglage, le chatbot AMYbot fonctionne entièrement dans le navigateur. Il lit le catalogue, les prix, le stock, la FAQ et les pages Livraison, Retours, Garantie et CGV. Il comprend aussi le tounsi, l'anglais, l'écriture SMS et les fautes de frappe.

Avec une clé d'IA, il formule des réponses plus naturelles. Le serveur lui fournit seulement les produits trouvés en base, les documents et les réglages : il ne peut pas inventer de prix ni de stock.

AI_API_KEY=sk-...                         # clé du fournisseur
AI_BASE_URL=https://api.openai.com/v1     # tout fournisseur compatible OpenAI (Mistral, Groq, OpenRouter…)
AI_MODEL=gpt-4o-mini                      # modèle économique conseillé

• Limite : 12 questions par minute et par visiteur (POST /api/v1/chatbot/ask), pour maîtriser le coût.
• En cas de panne ou de clé absente, le serveur répond « 503 » et le chatbot local prend le relais sans erreur visible.
• Fixez un plafond de dépense mensuel chez le fournisseur d'IA.

16. API publique de la boutique

Base : https://www.votre-domaine.tn/api/v1. Réponses en JSON. Les limites (« 10/min ») sont par visiteur.

Adresses SEO servies par Laravel : /, /boutique, /produit/{slug}, /categorie/{slug}, /marque/{slug}, /sitemap.xml, /robots.txt. Contrôle de santé : /up.

17. API d'administration

Connexion : POST /api/v1/admin/login { email, password } → { token, user }. 5 essais par minute au maximum. Le jeton « back-office » est valable 12 heures. Un jeton client de la boutique ne donne pas accès à l'admin.

Toutes les adresses ci-dessous commencent par /api/v1/admin et exigent Authorization: Bearer <jeton admin>.

18. Connecteurs API (ERP, facturation, stock)

Les connecteurs font travailler le site avec vos autres logiciels, dans les deux sens. Ils exigent HTTPS, CACHE_STORE=database (ou redis) et la tâche cron.

« Consommer » : un logiciel partenaire lit et écrit chez vous

Base : https://www.votre-domaine.tn/api/connect/v1. La clé se crée dans Back office > Connecteurs API. Elle n'est affichée qu'une seule fois.

Texte à signer, une valeur par ligne :

horodatage
nonce
MÉTHODE
/api/connect/v1/orders?created_from=2026-11-01
sha256(corps)          ← corps vide = sha256 de ""

Filtres : ?created_from=2026-11-01&created_to=2026-11-30 ou ?updated_since=2026-11-01T00:00:00Z. Pages : ?page=2&per_page=100 (200 maximum). Montants en millimes (3 799,000 TND = 3799000). Dates ISO 8601 en UTC.

« Envoyer » : le site prévient vos logiciels

Événements : customer.created, customer.updated, nouvelle commande, commande modifiée. En-têtes reçus : X-Amy-Event, X-Amy-Delivery, X-Amy-Timestamp, X-Amy-Signature = HMAC-SHA256(secret, horodatage + "." + corps). Le logiciel doit répondre avec un code 2xx. En cas d'échec, le site réessaie après 1 min, 5 min, 15 min, 1 h, 4 h et 12 h (grâce au cron).

19. Référencement Google (SEO)

• Le serveur remplit les zones <!--SSR:...--> des pages : titre, description, adresse canonique, Open Graph, données produit (prix, stock, étoiles, livraison, retours) et fil d'Ariane.
• Plan du site automatique : /sitemap.xml (pages, catégories, marques, produits avec images, 5 000 produits par fichier).
• /robots.txt automatique : bloque admin, panier et compte. Tout est bloqué si APP_ENV n'est pas production.

À faire après la mise en ligne

1. Vérifier /produit/un-produit > clic droit > « Code source » : le titre du produit doit apparaître dans le code.
2. Tester une fiche sur search.google.com/test/rich-results.
3. Google Search Console : ajouter le site, puis envoyer /sitemap.xml.
4. Créer la fiche Google Business Profile (adresse du magasin) pour apparaître sur Google Maps.
5. Back office > Agent SEO : lancer l'analyse et corriger les fiches signalées.

20. Performances et cache

• php artisan config:cache && php artisan route:cache && php artisan view:cache après chaque mise à jour.
• Activer OPcache dans le sélecteur PHP de cPanel (souvent déjà actif).
• CACHE_STORE=redis si l'hébergeur propose Redis, sinon database.
• Le catalogue est préparé une fois, gardé en cache 5 minutes et vidé automatiquement à chaque modification de produit, catégorie, marque ou avis.
• CSS et JS portent un numéro de version (?v=51.0) : augmentez-le après une modification pour forcer le rechargement chez les visiteurs.
• Images : préférez le format WebP, 1000×1000 px pour les produits et 1920×800 px pour le slider.

21. Sécurité : la liste à cocher

• APP_ENV=production et APP_DEBUG=false
• .env hors de la racine web, droits 640, jamais envoyé par email
• HTTPS forcé partout (V65 : .htaccess + SecureHeaders.php, test curl -I http://... → 301)
• Certificat SSL actif et renouvelé automatiquement (section 11)
• Rubrique « Sécurité » de env.example.txt copiée dans le .env (cookies sécurisés)
• Note A sur securityheaders.com et ssllabs.com
• Mot de passe Super Admin solide et unique, différent de celui de l'hébergement
• Un compte par personne dans Back office > Utilisateurs (jamais de compte partagé)
• Comptes de démonstration jamais utilisés en ligne (le serveur les refuse quand il répond)
• Mot de passe de la base solide, base non ouverte à Internet (sauf base externe en SSL)
• Clés API des connecteurs limitées aux adresses IP du partenaire, avec date d'expiration
• Plafond de dépense configuré chez le fournisseur d'IA
• Sauvegardes automatiques activées et testées (section 22)
• Mises à jour de sécurité : composer update tous les 3 mois, en testant d'abord sur une copie
• Accès cPanel et FTP protégés par double authentification si l'hébergeur le propose

21 bis. Sécurité renforcée V65 (détail technique)

Fichiers concernés

En-têtes de sécurité envoyés

Fichiers bloqués au public

Fichiers cachés (.env, .git, .htpasswd…) sauf .well-known (certificat), sauvegardes et archives (.sql .sqlite .bak .old .zip .7z .tar .gz .rar), journaux (.log), .ini .sh, artisan, composer.json/lock, package.json, INSTALLATION.txt, env.example.txt. Les fichiers .php placés dans storage/ ne s'exécutent jamais.

22. Sauvegardes

Restauration de la base : pg_restore -c -U utilisateur -d base amy-2026-11-08.dump. Testez une restauration sur une base vide au moins une fois.

23. Mettre à jour le site plus tard

1. Faire une sauvegarde de la base et des fichiers.
2. Mettre le site en maintenance : php artisan down --secret="un-code" (vous gardez l'accès via /un-code).
3. Envoyer les fichiers modifiés indiqués dans INSTALLATION.txt pour chaque version. Pour frontend/ : penser aussi à la copie dans public_html/frontend/ (piège n°2) et ne jamais écraser le .htaccess fusionné.
4. php artisan migrate --force si la version ajoute une migration.
5. php artisan optimize:clear puis php artisan config:cache && php artisan route:cache && php artisan view:cache
6. php artisan up, puis vérifier la boutique, une commande test et le back office.

24. Dépannage : erreurs fréquentes

25. Commandes utiles (aide-mémoire)

26. Liste finale avant ouverture

• https://www.votre-domaine.tn/up répond (Laravel fonctionne)
• http://www.votre-domaine.tn s'ouvre automatiquement en https:// avec le cadenas (V65)
• /api/v1/catalog affiche les produits en JSON
• La boutique affiche les produits de la base (et non ceux de démonstration)
• Connexion au back office par /backend/login.html avec le compte Super Admin
• Réglages saisis : nom, téléphones, email, adresse, livraison, zones, paiements
• Email d'essai reçu (Paramètres > Email SMTP)
• Commande test passée : visible dans Back office > Commandes, email de confirmation reçu, stock diminué
• Annulation de la commande test : stock remis
• Création d'un compte client, « Mot de passe oublié » reçu par email
• Image importée dans un produit : visible sur la boutique
• Formulaire de contact : message visible dans Back office > Messages
• Chatbot : répond sur un produit et sur la livraison
• /sitemap.xml et /robots.txt corrects, site déclaré dans Search Console
• Cron actif (Connecteurs API > journal sans erreur, si utilisé)
• Sauvegarde automatique de la base activée
• Produits et données de démonstration retirés ou remplacés