DOUAWE VPN — LE PRODUIT : ACCÈS DÉDIÉS, IDENTIFIANT À L'ACHAT, SUSPENSION ET RENOUVELLEMENT À L'IDENTIQUE
Ce zip REMPLACE le précédent « vpn mtu » (il en contient tous les fichiers). Une migration : cliquez sur « Mettre à jour la base ». Votre fichier .env n'est PAS touché.
Un SECOND zip, « douawe_vpn_api_serveur_v2_1.zip », contient la mise à jour du SERVEUR VPN (à installer sur le VPS, pas sur l'hébergement).

=== 1. CE QUE VOIT ET FAIT LE CLIENT
 À l'achat : il choisit son forfait ET crée l'identifiant et le mot de passe du compte de son routeur (mot de passe 12 caractères au moins, jamais « admin », jamais un mot de passe courant ; il n'est jamais réaffiché).
 Après l'achat, la page « DOUAWE VPN » lui donne :
   - TROIS ADRESSES DÉDIÉES par routeur, avec bouton « Copier » : API (WiFi Zone) · WinBox · WebFig / UserManager, du type vpn.douawe.ci:31245 ;
   - « Pinger le VPN » : l'application teste l'adresse API et répond « Connexion réussie » ;
   - UNE LIGNE à coller dans « New Terminal » de WinBox (installation du tunnel, ou mise à niveau d'un tunnel existant) : le routeur télécharge lui-même son script. Elle crée le tunnel, la route de retour, le compte choisi,
     active les services API (8728), WebFig (80) et WinBox (8291) et ne les ouvre qu'au serveur VPN ; l'encadré « Ports à activer sur le MikroTik » l'explique ;
   - sa dernière installation (« Script exécuté sur le routeur le… »), son compte (identifiant), et de quoi changer son mot de passe.
 À l'EXPIRATION : ses appareils sont SUSPENDUS : plus d'accès à distance, plus de WinBox, plus d'API. Rien n'est détruit : adresse, clé et numéros de port sont gardés.
 Au RENOUVELLEMENT (boutons « Renouveler l'abonnement », payés par le portefeuille) : tout reprend automatiquement, avec les mêmes adresses : le client ne réinstalle RIEN sur son routeur. La nouvelle durée part d'aujourd'hui.
   Si le serveur ne peut pas rouvrir les accès, le client n'est PAS débité.
 Renouvelable pendant 90 jours après l'expiration ; ensuite les appareils sont révoqués pour de bon (adresse et ports libérés) et il faut racheter un forfait.

=== 2. CE QUE VOUS AVEZ DE PLUS (super administrateur)
 - Administration VPN > « Configuration API » : le nom public des accès (par défaut vpn.douawe.ci) ;  > « Forfaits VPN » : vos prix et durées (livré avec le zip précédent).
 - Commandes (terminal de l'hébergement, dossier du site) :
     php artisan vpn:expire            suspend les abonnements expirés (planifié) et révoque ceux terminés depuis plus de 90 jours ;
     php artisan vpn:adopt             APRÈS la mise à jour du serveur : fait reprendre vos appareils actuels par le serveur et ouvre les trois accès de chaque MikroTik ; --dry-run pour seulement lister.
 - Votre propre abonnement vous reste gratuit (achat, prolongation, renouvellement).

=== 3. SÉCURITÉ (ce que j'ai décidé pour vous)
 - Le compte créé sur le routeur est dans un groupe « douawe-remote » : lecture, écriture, API, WinBox, WebFig, test, accès aux mots de passe des tickets, redémarrage, et le droit « policy » (nécessaire aux scripts des profils).
   Pas de ssh, telnet, ftp, sniffer. Le droit « policy » permet de gérer les comptes du routeur : le compte reste donc puissant : d'où le mot de passe exigé long et personnel.
 - Un compte du routeur qui existe déjà (« admin » en tête) n'est JAMAIS modifié : le script le saute et écrit une ligne d'erreur dans le journal du routeur ; l'identifiant « admin » (et root, user, guest, mikrotik…) est refusé à l'achat, quelle que soit la casse.
 - Le port API n'est ouvert qu'à votre hébergement ; WinBox et WebFig sont ouverts à Internet (comme chez SUNVPN) : c'est le mot de passe du client qui les protège.
 - Le lien d'installation (24 h) contient la clé privée du routeur ET le mot de passe choisi : le client ne doit pas le partager.

=== 4. INSTALLATION, DANS L'ORDRE
 1. SITE : cPanel > « public_html » > envoyer ce zip > Extraire en remplaçant ; supprimer les .php de wifi.douaweproshop.ci/bootstrap/cache ; « Mettre à jour la base ».
    Tant que le serveur n'est pas à jour : les achats fonctionnent ; l'ouverture des trois accès est reportée (affichée « en cours de préparation ») ; l'expiration n'est pas appliquée (elle réessaie à chaque passage et le dit) : aucun client n'est coupé par erreur.
 2. SERVEUR : suivre le README de « douawe_vpn_api_serveur_v2_1.zip » (section « Mise à jour vers 2.1 »), avec une console de secours. Il a été validé par 130 vérifications sur un serveur SIMULÉ, jamais sur votre vrai VPS : on avance pas à pas, avec UN abonnement d'essai.
 3. Après la bascule : php artisan vpn:adopt --dry-run, puis php artisan vpn:adopt.
 4. DNS : un enregistrement A vpn.douawe.ci vers 169.58.87.81 (nslookup vpn.douawe.ci).
 5. Jacqueville (abonnement existant, sans compte) : sur sa carte, « Créer l'identifiant et le mot de passe », puis « Générer le lien d'installation » > ligne « Mise à niveau » > à coller dans le Terminal du routeur : elle ajoute le compte et les services sans recréer le tunnel.

=== 5. LIMITES, DITES CLAIREMENT
 - Rien de tout cela n'a été essayé sur votre vrai VPS ni sur vos routeurs : tests automatiques et rendu vérifié dans Chrome sur téléphone seulement.
 - Le type SSTP (routeurs RouterOS 6, donc Kassemblé) et l'ajout du routeur dans WiFi Zone « en un clic » avec l'adresse API ne sont pas encore faits : ce sont les étapes suivantes.
 - WinBox et WebFig exposés à Internet restent un risque : mot de passe unique et fort.