chore: update

control-plane/api/internal/demos/demos.go

@@ -4,6 +4,7 @@ package demos
 
 import (
 	"errors"
+	"strings"
 	"time"
 )
 
@@ -145,3 +146,20 @@ const (
 	ResourceFree     ResourceStatus = "free"
 	ResourceBorrowed ResourceStatus = "borrowed"
 )
+
+// premiumNamespace calcule le namespace "premium-<client>" utilisé une fois
+// la démo passée en abonnement payant (voir Service.TransferToPaid et
+// HelmProvisioner.MigrateToPremiumNamespace) — Kubernetes ne permet pas de
+// renommer un namespace, seulement d'en créer un nouveau et d'y migrer les
+// données. Contrainte K8s : nom en minuscules, 63 caractères max ; le
+// username est déjà alphanumérique (voir handler.go), il suffit de le
+// mettre en minuscule et de le tronquer si besoin.
+func premiumNamespace(username string) string {
+	const prefix = "premium-"
+	maxLen := 63 - len(prefix)
+	u := strings.ToLower(username)
+	if len(u) > maxLen {
+		u = u[:maxLen]
+	}
+	return prefix + u
+}

control-plane/api/internal/demos/helm_provisioner.go

@@ -5,6 +5,7 @@ import (
 	"context"
 	"crypto/rand"
 	"encoding/hex"
+	"encoding/json"
 	"fmt"
 	"io"
 	"log"
@@ -206,6 +207,227 @@ func (h *HelmProvisioner) Teardown(d Demo) error {
 	return h.deleteNamespace(d.Namespace)
 }
 
+// MigrateToPremiumNamespace reconstruit l'intégralité de la démo dans
+// newNamespace ("premium-<client>") et y migre les données postgres —
+// Kubernetes ne permet pas de renommer un namespace, il faut donc
+// recréer toute la stack (postgres/redis/backend/frontend/ingressroute/
+// lbtelegram) ailleurs.
+//
+// La configuration (bot Telegram, NowPayments, load-balancer...) n'est
+// jamais persistée en base (voir ProvisionConfig) : elle est relue depuis
+// les valeurs Helm de l'ancien déploiement ("helm get values"), qui
+// contiennent exactement ce qui a été installé à l'origine, secrets
+// inclus — jamais journalisés ni interprétés ici, seulement retransmis
+// tels quels au nouveau déploiement. Seuls les champs qui référencent
+// l'ancien namespace (DNS internes, URL du webhook Telegram) sont
+// recalculés pour le nouveau (voir patchBackendValuesForNamespace /
+// patchLBTelegramValuesForNamespace).
+//
+// L'ancien namespace n'est supprimé qu'une fois le nouveau confirmé
+// opérationnel (rollout réussi) : en cas d'échec à n'importe quelle étape,
+// la démo continue de fonctionner sous son ancienne adresse, rien n'est
+// perdu. No-op si newNamespace == d.Namespace (déjà migrée, ex.
+// renouvellement d'un client déjà premium).
+func (h *HelmProvisioner) MigrateToPremiumNamespace(d Demo, newNamespace, newURL string) error {
+	oldNamespace := d.Namespace
+	if newNamespace == oldNamespace {
+		return nil
+	}
+
+	ctx, cancel := context.WithTimeout(context.Background(), 15*time.Minute)
+	defer cancel()
+
+	backendValues, err := h.getReleaseValues(oldNamespace, oldNamespace+"-backend")
+	if err != nil {
+		return fmt.Errorf("lecture config backend existante: %w", err)
+	}
+	lbValues, lbEnabled := h.getReleaseValuesOptional(oldNamespace, oldNamespace+"-lbtelegram")
+
+	if err := h.createNamespace(newNamespace); err != nil {
+		return fmt.Errorf("création namespace %s: %w", newNamespace, err)
+	}
+
+	newDemo := d
+	newDemo.Namespace = newNamespace
+	newDemo.URL = newURL
+
+	if err := h.installChart(newNamespace, "postgresql", h.buildPostgresValues(newDemo)); err != nil {
+		h.deleteNamespace(newNamespace)
+		return fmt.Errorf("déploiement postgresql: %w", err)
+	}
+	if err := h.installChart(newNamespace, "redis", h.buildRedisValues(newDemo)); err != nil {
+		h.deleteNamespace(newNamespace)
+		return fmt.Errorf("déploiement redis: %w", err)
+	}
+
+	// Données postgres : migrées par dump/restore (le nouveau PVC est
+	// vide). Redis (cache/sessions) n'est pas migré, reconstruit
+	// naturellement — même convention que l'historique passage en
+	// stockage persistant.
+	if err := h.migratePostgresData(ctx, oldNamespace, newNamespace); err != nil {
+		h.deleteNamespace(newNamespace)
+		return fmt.Errorf("migration données postgres: %w", err)
+	}
+
+	var backendLinkSecret string
+	if lbEnabled {
+		backendLinkSecret = asStringMap(backendValues["secrets"])["BACKEND_LINK_SECRET"]
+		if backendLinkSecret == "" {
+			backendLinkSecret = randomSecret()
+		}
+	}
+
+	backendPatched := h.patchBackendValuesForNamespace(backendValues, newDemo, lbEnabled, backendLinkSecret)
+	if err := h.installChart(newNamespace, "backend", backendPatched); err != nil {
+		h.deleteNamespace(newNamespace)
+		return fmt.Errorf("déploiement backend: %w", err)
+	}
+	if err := h.installChart(newNamespace, "frontend", h.buildFrontendValues(newDemo)); err != nil {
+		h.deleteNamespace(newNamespace)
+		return fmt.Errorf("déploiement frontend: %w", err)
+	}
+	if err := h.installChart(newNamespace, "ingressroute", h.buildIngressRouteValues(newDemo)); err != nil {
+		h.deleteNamespace(newNamespace)
+		return fmt.Errorf("déploiement ingressroute: %w", err)
+	}
+	if lbEnabled {
+		lbPatched := h.patchLBTelegramValuesForNamespace(lbValues, newDemo, backendLinkSecret)
+		if err := h.installChart(newNamespace, "lbtelegram", lbPatched); err != nil {
+			h.deleteNamespace(newNamespace)
+			return fmt.Errorf("déploiement lbtelegram: %w", err)
+		}
+	}
+
+	if err := h.waitForRollout(newNamespace); err != nil {
+		// Le nouveau namespace n'est PAS supprimé : les données y sont déjà
+		// migrées, un rollout en échec est réparable manuellement sans tout
+		// reperdre. L'ancien namespace reste lui aussi en place tant que le
+		// nouveau n'est pas confirmé opérationnel.
+		return fmt.Errorf("rollout du nouveau namespace %s: %w", newNamespace, err)
+	}
+
+	if err := h.deleteNamespace(oldNamespace); err != nil {
+		log.Printf("Warning: suppression ancien namespace %s échouée (nouveau namespace %s opérationnel): %v", oldNamespace, newNamespace, err)
+	}
+
+	log.Printf("Démo %s migrée vers le namespace premium %s", oldNamespace, newNamespace)
+	return nil
+}
+
+// migratePostgresData copie les données postgres d'un namespace à l'autre
+// (pg_dump / psql restore), utilisé par MigrateToPremiumNamespace.
+func (h *HelmProvisioner) migratePostgresData(ctx context.Context, oldNamespace, newNamespace string) error {
+	oldPod, err := h.findPod(ctx, oldNamespace, "postgresql")
+	if err != nil {
+		return fmt.Errorf("pod postgresql source introuvable: %w", err)
+	}
+	dumpCmd := fmt.Sprintf("PGPASSWORD=%s pg_dump -h localhost -U %s %s", demoDBPass, demoDBUser, demoDBName)
+	dump, stderr, err := h.execInPod(ctx, oldNamespace, oldPod, "postgresql", []string{"sh", "-c", dumpCmd}, nil)
+	if err != nil {
+		return fmt.Errorf("pg_dump: %w (%s)", err, stderr)
+	}
+	if strings.TrimSpace(dump) == "" {
+		return nil
+	}
+
+	newPod, err := h.findPod(ctx, newNamespace, "postgresql")
+	if err != nil {
+		return fmt.Errorf("pod postgresql cible introuvable: %w", err)
+	}
+	restoreCmd := fmt.Sprintf("PGPASSWORD=%s psql -h localhost -U %s %s", demoDBPass, demoDBUser, demoDBName)
+	if _, stderr, err := h.execInPod(ctx, newNamespace, newPod, "postgresql", []string{"sh", "-c", restoreCmd}, strings.NewReader(dump)); err != nil {
+		return fmt.Errorf("restore pg_dump: %w (%s)", err, stderr)
+	}
+	return nil
+}
+
+// patchBackendValuesForNamespace réutilise les valeurs Helm existantes du
+// backend (image, secrets, réglages métier...) en ne recalculant que ce qui
+// référence le nom du namespace : DNS internes postgres/redis/lbtelegram et
+// URL du webhook Telegram (dépend de l'URL publique de la démo).
+func (h *HelmProvisioner) patchBackendValuesForNamespace(values map[string]interface{}, newDemo Demo, lbEnabled bool, backendLinkSecret string) map[string]interface{} {
+	env := asStringMap(values["env"])
+	secrets := asStringMap(values["secrets"])
+
+	env["DB_HOST"] = fmt.Sprintf("%s-postgresql-postgresql", newDemo.Namespace)
+	env["REDIS_HOST"] = fmt.Sprintf("%s-redis-redis", newDemo.Namespace)
+	if lbEnabled {
+		env["LBTELEGRAM_URL"] = fmt.Sprintf("http://%s-lbtelegram-lbtelegram.%s.svc.cluster.local:8081", newDemo.Namespace, newDemo.Namespace)
+		secrets["BACKEND_LINK_SECRET"] = backendLinkSecret
+	}
+	if secrets["TELEGRAM_BOT_TOKEN"] != "" {
+		secrets["TELEGRAM_WEBHOOK_URL"] = newDemo.URL + "/webhook/telegram"
+	}
+
+	values["env"] = env
+	values["secrets"] = secrets
+	return values
+}
+
+// patchLBTelegramValuesForNamespace réutilise les valeurs Helm existantes
+// du chart lbtelegram (bots, stratégie, tokens...) en ne recalculant que ce
+// qui référence le nom du namespace : host public, GATEWAY_URL, DSN
+// postgres/redis et URL interne du backend.
+func (h *HelmProvisioner) patchLBTelegramValuesForNamespace(values map[string]interface{}, newDemo Demo, backendLinkSecret string) map[string]interface{} {
+	env := asStringMap(values["env"])
+	secrets := asStringMap(values["secrets"])
+
+	host := fmt.Sprintf("%s.%s", newDemo.Namespace, h.baseDomain)
+	env["GATEWAY_URL"] = "https://" + host
+	env["BACKEND_LINK_URL"] = fmt.Sprintf("http://%s-backend-gestion-backend.%s.svc.cluster.local:8080", newDemo.Namespace, newDemo.Namespace)
+
+	secrets["BACKEND_LINK_SECRET"] = backendLinkSecret
+	secrets["DATABASE_URL"] = fmt.Sprintf("postgres://postgres:demo-postgres-pass@%s-postgresql-postgresql:5432/demo_db?sslmode=disable", newDemo.Namespace)
+	secrets["REDIS_URL"] = fmt.Sprintf("redis://:demo-redis-pass@%s-redis-redis:6379/0", newDemo.Namespace)
+
+	values["host"] = host
+	values["env"] = env
+	values["secrets"] = secrets
+	return values
+}
+
+// getReleaseValues récupère les valeurs Helm exactes utilisées par une
+// release déjà installée ("helm get values -o json").
+func (h *HelmProvisioner) getReleaseValues(namespace, release string) (map[string]interface{}, error) {
+	out, err := h.runHelmOutput("get", "values", release, "--namespace", namespace, "-o", "json")
+	if err != nil {
+		return nil, err
+	}
+	var values map[string]interface{}
+	if err := json.Unmarshal(out, &values); err != nil {
+		return nil, fmt.Errorf("parse valeurs helm de %s: %w", release, err)
+	}
+	return values, nil
+}
+
+// getReleaseValuesOptional : comme getReleaseValues, mais renvoie
+// simplement (nil, false) si la release n'existe pas (ex. lbtelegram non
+// activé pour cette démo) plutôt qu'une erreur.
+func (h *HelmProvisioner) getReleaseValuesOptional(namespace, release string) (map[string]interface{}, bool) {
+	values, err := h.getReleaseValues(namespace, release)
+	if err != nil {
+		return nil, false
+	}
+	return values, true
+}
+
+// asStringMap convertit une valeur JSON décodée (map[string]interface{})
+// en map[string]string, en ignorant silencieusement les clés dont la
+// valeur n'est pas une chaîne.
+func asStringMap(v interface{}) map[string]string {
+	out := map[string]string{}
+	m, ok := v.(map[string]interface{})
+	if !ok {
+		return out
+	}
+	for k, val := range m {
+		if s, ok := val.(string); ok {
+			out[k] = s
+		}
+	}
+	return out
+}
+
 // createGestionAdmin crée le compte admin de l'application "gestion"
 // déployée dans cette démo, en insérant directement dans la table "users"
 // (aucune route API ne le permet : CreateUser refuse explicitement de créer
@@ -405,15 +627,22 @@ func (h *HelmProvisioner) writeValuesFile(namespace, chartName string, values ma
 
 // runHelm exécute une commande helm et remonte stdout/stderr en cas d'erreur.
 func (h *HelmProvisioner) runHelm(args ...string) error {
+	_, err := h.runHelmOutput(args...)
+	return err
+}
+
+// runHelmOutput exécute une commande helm et retourne son stdout (ex. "helm
+// get values -o json").
+func (h *HelmProvisioner) runHelmOutput(args ...string) ([]byte, error) {
 	cmd := exec.Command(h.helmPath, args...)
 	var stdout, stderr bytes.Buffer
 	cmd.Stdout = &stdout
 	cmd.Stderr = &stderr
 
 	if err := cmd.Run(); err != nil {
-		return fmt.Errorf("%v (stdout: %s, stderr: %s)", err, stdout.String(), stderr.String())
+		return nil, fmt.Errorf("%v (stdout: %s, stderr: %s)", err, stdout.String(), stderr.String())
 	}
-	return nil
+	return stdout.Bytes(), nil
 }
 
 func parseImage(image string) (repo string, tag string) {

control-plane/api/internal/demos/provisioner.go

@@ -10,6 +10,11 @@ type Provisioner interface {
 	Provision(d Demo, resources []ExternalResource, cfg ProvisionConfig) error
 	// Teardown demande la destruction d'une démo.
 	Teardown(d Demo) error
+	// MigrateToPremiumNamespace reconstruit la démo dans newNamespace
+	// (Kubernetes ne permet pas de renommer un namespace) en préservant les
+	// données postgres, puis supprime l'ancien namespace une fois le
+	// nouveau opérationnel. No-op si d.Namespace == newNamespace.
+	MigrateToPremiumNamespace(d Demo, newNamespace, newURL string) error
 	GetResourceState(ctx context.Context, namespace string) (ResourceState, error)
 }
 
@@ -19,6 +24,7 @@ type NoopProvisioner struct{}
 
 func (NoopProvisioner) Provision(Demo, []ExternalResource, ProvisionConfig) error { return nil }
 func (NoopProvisioner) Teardown(Demo) error                                       { return nil }
+func (NoopProvisioner) MigrateToPremiumNamespace(Demo, string, string) error      { return nil }
 func (NoopProvisioner) GetResourceState(ctx context.Context, namespace string) (ResourceState, error) {
 	return ResourceState{}, nil
 }

control-plane/api/internal/demos/service.go

@@ -75,15 +75,7 @@ func (s *Service) Create(username string, cfg ProvisionConfig) (Demo, error) {
 		CreatedAt: s.now().UTC(),
 		ExpiresAt: s.now().UTC().Add(s.cfg.TTL),
 	}
-	// Port omis dans l'URL s'il s'agit du 443 standard ; sinon affiché
-	// explicitement (ex. NodePort HTTPS sans LoadBalancer). Ne concerne que
-	// l'URL affichée : le Host() de l'IngressRoute reste sans port (voir
-	// buildIngressRouteValues), le port n'y a pas sa place pour le matching.
-	portSuffix := ""
-	if s.cfg.HTTPSPort != "" && s.cfg.HTTPSPort != "443" {
-		portSuffix = ":" + s.cfg.HTTPSPort
-	}
-	demo.URL = "https://" + demo.Namespace + "." + s.cfg.BaseDomain + portSuffix
+	demo.URL = s.urlFor(demo.Namespace)
 
 	// Réserve les ressources externes (slots Telegram/NowPayments pré-
 	// provisionnés) — contrainte réelle indépendante du nombre de démos,
@@ -134,11 +126,16 @@ func (s *Service) ListForUser(username string) ([]Demo, error) {
 }
 
 // TransferToPaid marque la démo active du client comme abonnement payant
-// (n'expire plus). Le stockage (PVC postgres/redis) est déjà en place depuis
-// la création de la démo (voir HelmProvisioner.Provision) : rien à basculer
-// côté infra, seul le statut change. No-op si le client n'a pas de démo
-// active — ce n'est pas une erreur (ex: compte créé sans jamais avoir
-// demandé de démo).
+// (n'expire plus) et déclenche la migration de son namespace vers
+// "premium-<client>" (Kubernetes ne permet pas de renommer un namespace,
+// voir HelmProvisioner.MigrateToPremiumNamespace) — no-op si déjà migrée
+// (ex. renouvellement d'un client déjà premium). Le stockage (PVC
+// postgres/redis) est déjà en place depuis la création de la démo, seules
+// les données postgres sont recopiées vers le nouveau namespace. No-op
+// total si le client n'a pas de démo active — ce n'est pas une erreur (ex:
+// compte créé sans jamais avoir demandé de démo). La migration est lente
+// (dump/restore/helm) : elle tourne en tâche de fond, cette méthode ne
+// bloque pas.
 func (s *Service) TransferToPaid(username string) error {
 	existing, err := s.store.ListByUsername(auth.NormalizeUsername(username))
 	if err != nil {
@@ -158,13 +155,43 @@ func (s *Service) TransferToPaid(username string) error {
 
 	active.TypeAbo = "premium"
 	active.ExpiresAt = s.now().UTC().AddDate(10, 0, 0) // n'expire plus, en pratique
-	if _, err := s.store.Update(*active); err != nil {
+	updated, err := s.store.Update(*active)
+	if err != nil {
 		return err
 	}
 
+	newNamespace := premiumNamespace(updated.Username)
+	if newNamespace != updated.Namespace {
+		newURL := s.urlFor(newNamespace)
+		go func() {
+			if err := s.prov.MigrateToPremiumNamespace(updated, newNamespace, newURL); err != nil {
+				log.Printf("Migration namespace premium échouée pour %s: %v", updated.Namespace, err)
+				return
+			}
+			updated.Namespace = newNamespace
+			updated.URL = newURL
+			if _, err := s.store.Update(updated); err != nil {
+				log.Printf("Mise à jour namespace après migration premium échouée pour %s: %v", newNamespace, err)
+			}
+		}()
+	}
+
 	return nil
 }
 
+// urlFor construit l'URL publique d'une démo pour un namespace donné. Port
+// omis s'il s'agit du 443 standard ; sinon affiché explicitement (ex.
+// NodePort HTTPS sans LoadBalancer). Ne concerne que l'URL affichée : le
+// Host() de l'IngressRoute reste sans port (voir buildIngressRouteValues),
+// le port n'y a pas sa place pour le matching.
+func (s *Service) urlFor(namespace string) string {
+	portSuffix := ""
+	if s.cfg.HTTPSPort != "" && s.cfg.HTTPSPort != "443" {
+		portSuffix = ":" + s.cfg.HTTPSPort
+	}
+	return "https://" + namespace + "." + s.cfg.BaseDomain + portSuffix
+}
+
 // Delete déclenche le teardown et libère le pool.
 func (s *Service) Delete(id string) (Demo, error) {
 	d, ok := s.store.Get(id)