Architecture .

1. Vue d'ensemble

L'application est composée de 5 grandes briques qui communiquent entre elles :

1. Frontend statique (Vite + React) hébergé sur Cloudflare Pages — UI utilisateur
2. API serverless (Cloudflare Pages Functions) — logique métier, vérifications, signature
3. Base de données (Supabase Postgres) — users, points, tasks, referrals
4. Bot Telegram (existant, sur EC2) — entrée principale des users + vérif join canal
5. Services externes — X OAuth, Solana RPC, Turnstile

2. Schéma global

3. Détail des composants

4. Flows utilisateur

5. Schéma base de données

Tables principales (Postgres) :

-- Identité utilisateur
users (
  id              uuid primary key default gen_random_uuid(),
  wallet          text unique not null,            -- adresse Solana base58
  x_user_id       text unique,                     -- nullable jusqu'à connect X
  x_username      text,
  telegram_user_id bigint unique,                  -- nullable jusqu'à connect TG
  telegram_username text,
  referral_slug   text unique not null,            -- 8 chars, généré au signup
  points          int not null default 0,
  created_at      timestamptz default now(),
  last_login_at   timestamptz,
  ip_country      text,                            -- géolocalisation grossière
  flags           jsonb default '{}'::jsonb        -- anti-sybil flags
);

-- Tasks (gérées via Supabase Studio par toi)
tasks (
  id              uuid primary key default gen_random_uuid(),
  type            text not null,                   -- 'follow_x', 'follow_tg', 'like', 'rt', 'onchain'
  title           text not null,
  description     text,
  points          int not null,
  config          jsonb not null,                  -- { tweet_id, channel_id, token_mint, ... }
  active_from     timestamptz default now(),
  active_to       timestamptz,                     -- null = permanent
  recurrence      text default 'once',             -- 'once', 'daily'
  enabled         boolean default true,
  created_at      timestamptz default now()
);

-- Completions (1 ligne par task validée)
completions (
  id              uuid primary key default gen_random_uuid(),
  user_id         uuid references users(id) on delete cascade,
  task_id         uuid references tasks(id) on delete cascade,
  completed_at    timestamptz default now(),
  proof           jsonb,                           -- url RT, tx hash, etc.
  points_awarded  int not null,
  unique (user_id, task_id, date_trunc('day', completed_at))  -- daily tasks
);

-- Referrals
referrals (
  id              uuid primary key default gen_random_uuid(),
  referrer_id     uuid references users(id) on delete cascade,
  referee_id      uuid references users(id) on delete cascade unique,  -- 1 user = 1 parrain
  created_at      timestamptz default now(),
  reward_credited boolean default false,
  rewarded_at     timestamptz
);

-- Log immutable des points (audit + display)
points_log (
  id              uuid primary key default gen_random_uuid(),
  user_id         uuid references users(id) on delete cascade,
  delta           int not null,
  balance_after   int not null,
  reason          text not null,                   -- 'task:{id}', 'referral_reward', 'admin_adjust'
  ref_id          uuid,
  created_at      timestamptz default now()
);

-- Nonces SIWS (TTL 5 min, anti-replay)
auth_nonces (
  nonce           text primary key,
  pubkey          text not null,
  expires_at      timestamptz not null
);

Row Level Security (RLS)

-- users : un user voit seulement son propre row, sauf colonnes publiques
alter table users enable row level security;
create policy "users_self_read" on users for select using (auth.uid() = id);
create policy "users_public_leaderboard" on users for select using (true)
  -- limité aux colonnes safe via une vue 'leaderboard'

-- tasks : tout le monde peut lire les tasks actives
alter table tasks enable row level security;
create policy "tasks_read_active" on tasks for select using (enabled and active_from <= now());

-- completions : user voit ses propres complétions
alter table completions enable row level security;
create policy "completions_self_read" on completions for select using (user_id = auth.uid());

-- INSERT : uniquement via service_role (l'API Cloudflare)

6. Endpoints API

7. Sécurité & anti-sybil

8. Scaling & coûts par stade