feat(openrouter): validate API key at save time

The stored key that caused the persistent 401s turned out to be only
9 characters long — an accepted-but-truncated paste. Prevent this class
of problem at the source:
- require a minimum key length in the zod schema
- verify new keys against OpenRouter's /api/v1/key endpoint on save,
  rejecting explicit 401/403 (network errors don't block saving)
- return zod validation messages as 400 instead of a generic 500
- surface the server's error message in the settings toast (desktop
  and mobile) instead of a generic failure text

client/src/components/ai-chat.tsx

@@ -32,7 +32,7 @@ export default function AiChat() {
     },
   ]);
   const [input, setInput] = useState("");
-  const [selectedModel, setSelectedModel] = useState("anthropic/claude-3.5-sonnet");
+  const [selectedModel, setSelectedModel] = useState("anthropic/claude-sonnet-4.5");
   const { toast } = useToast();
 
   // Fetch available models from OpenRouter

client/src/pages/mobile/settings.tsx

@@ -23,7 +23,7 @@ export default function SettingsMobile() {
   const [endpointUrl, setEndpointUrl] = useState("");
   const [publicUrl, setPublicUrl] = useState("");
   const [openrouterApiKey, setOpenrouterApiKey] = useState("");
-  const [openrouterModel, setOpenrouterModel] = useState("anthropic/claude-3.5-sonnet");
+  const [openrouterModel, setOpenrouterModel] = useState("anthropic/claude-sonnet-4.5");
   const [openrouterSystemPrompt, setOpenrouterSystemPrompt] = useState("Tu es un expert en marketing des réseaux sociaux. Génère 3 variations de textes engageants pour des publications Facebook et Instagram à partir des informations produit fournies. Chaque variation doit être unique, captivante et optimisée pour l'engagement.");
   const [logoFile, setLogoFile] = useState<File | null>(null);
   const [logoPreview, setLogoPreview] = useState<string | null>(null);
@@ -64,7 +64,7 @@ export default function SettingsMobile() {
 
   useEffect(() => {
     if (openrouterConfig) {
-      setOpenrouterModel((openrouterConfig as any).model || "anthropic/claude-3.5-sonnet");
+      setOpenrouterModel((openrouterConfig as any).model || "anthropic/claude-sonnet-4.5");
       setOpenrouterSystemPrompt((openrouterConfig as any).systemPrompt || "Tu es un expert en marketing des réseaux sociaux. Génère 3 variations de textes engageants pour des publications Facebook et Instagram à partir des informations produit fournies. Chaque variation doit être unique, captivante et optimisée pour l'engagement.");
     }
   }, [openrouterConfig]);
@@ -157,10 +157,17 @@ export default function SettingsMobile() {
       });
       setOpenrouterApiKey("");
     },
-    onError: () => {
+    onError: (error: Error) => {
+      let description = "Impossible de sauvegarder la configuration OpenRouter";
+      const body = error.message.match(/^\d+:\s*(.+)$/)?.[1];
+      if (body) {
+        try {
+          description = JSON.parse(body).error || description;
+        } catch { /* garder le message générique */ }
+      }
       toast({
         title: "Erreur",
-        description: "Impossible de sauvegarder la configuration OpenRouter",
+        description,
         variant: "destructive",
       });
     },

client/src/pages/settings.tsx

@@ -23,7 +23,7 @@ export default function Settings() {
   const [endpointUrl, setEndpointUrl] = useState("");
   const [publicUrl, setPublicUrl] = useState("");
   const [openrouterApiKey, setOpenrouterApiKey] = useState("");
-  const [openrouterModel, setOpenrouterModel] = useState("anthropic/claude-3.5-sonnet");
+  const [openrouterModel, setOpenrouterModel] = useState("anthropic/claude-sonnet-4.5");
   const [openrouterSystemPrompt, setOpenrouterSystemPrompt] = useState("Tu es un expert en marketing des réseaux sociaux. Génère 3 variations de textes engageants pour des publications Facebook et Instagram à partir des informations produit fournies. Chaque variation doit être unique, captivante et optimisée pour l'engagement.");
   const [logoFile, setLogoFile] = useState<File | null>(null);
   const [logoPreview, setLogoPreview] = useState<string | null>(null);
@@ -81,7 +81,7 @@ export default function Settings() {
 
   useEffect(() => {
     if (openrouterConfig) {
-      setOpenrouterModel((openrouterConfig as any).model || "anthropic/claude-3.5-sonnet");
+      setOpenrouterModel((openrouterConfig as any).model || "anthropic/claude-sonnet-4.5");
       setOpenrouterSystemPrompt((openrouterConfig as any).systemPrompt || "Tu es un expert en marketing des réseaux sociaux. Génère 3 variations de textes engageants pour des publications Facebook et Instagram à partir des informations produit fournies. Chaque variation doit être unique, captivante et optimisée pour l'engagement.");
     }
   }, [openrouterConfig]);
@@ -161,10 +161,17 @@ export default function Settings() {
       });
       setOpenrouterApiKey(""); // Clear the API key after saving
     },
-    onError: () => {
+    onError: (error: Error) => {
+      let description = "Impossible de sauvegarder la configuration OpenRouter";
+      const body = error.message.match(/^\d+:\s*(.+)$/)?.[1];
+      if (body) {
+        try {
+          description = JSON.parse(body).error || description;
+        } catch { /* garder le message générique */ }
+      }
       toast({
         title: "Erreur",
-        description: "Impossible de sauvegarder la configuration OpenRouter",
+        description,
         variant: "destructive",
       });
     },

ffmpeg-service/main.py

@@ -159,7 +159,7 @@ class ReelRequest(BaseModel):
     music_volume: float = 0.25
     tts_enabled: bool = False
     tts_voice: str = "fr-FR-VivienneMultilingualNeural"
-    tts_engine: str = "edge"  # "edge" or "gemini"
+    tts_engine: str = "gemini"  # "gemini" or "edge"
     gemini_api_key: Optional[str] = None  # Google Cloud API key for Gemini TTS
     draw_text: bool = True
     stabilize: bool = False  # Stabilisation vidéo via vidstab
@@ -924,18 +924,30 @@ async def process_reel(request: ReelRequest, x_api_key: str = Header(None)):
 
                 if tts_clean_text:
                     print(f"🔊 Generating TTS audio to: {tts_audio_path}")
-                    engine = request.tts_engine or "edge"
+                    engine = request.tts_engine or "gemini"
 
+                    # Primary: Gemini TTS. Fallback: Edge TTS
                     if engine == "gemini" and request.gemini_api_key:
-                        await generate_tts_gemini(
-                            tts_clean_text,
-                            voice,
-                            request.gemini_api_key,
-                            tts_audio_path,
-                            tts_ass_path,
-                            display_text=clean_text_for_display(request.text),
-                            delay=2.0,
-                        )
+                        try:
+                            await generate_tts_gemini(
+                                tts_clean_text,
+                                voice,
+                                request.gemini_api_key,
+                                tts_audio_path,
+                                tts_ass_path,
+                                display_text=clean_text_for_display(request.text),
+                                delay=2.0,
+                            )
+                        except Exception as gemini_err:
+                            print(f"⚠️ Gemini TTS failed ({gemini_err}), falling back to Edge TTS")
+                            await generate_tts_with_subs(
+                                tts_clean_text,
+                                voice,
+                                tts_audio_path,
+                                tts_ass_path,
+                                display_text=clean_text_for_display(request.text),
+                                delay=2.0,
+                            )
                     else:
                         await generate_tts_with_subs(
                             tts_clean_text,
@@ -1323,17 +1335,28 @@ async def preview_tts(request: ReelRequest, x_api_key: str = Header(None)):
         # Note: Gemini voices (fr-FR-Standard-A etc.) are valid Edge voices too,
         # so we don't check for "Neural" - let edge_tts handle voice resolution
 
-        engine = request.tts_engine or "edge"
+        engine = request.tts_engine or "gemini"
 
+        # Primary: Gemini TTS. Fallback: Edge TTS
         if engine == "gemini" and request.gemini_api_key:
-            await generate_tts_gemini(
-                clean_text,
-                voice,
-                request.gemini_api_key,
-                tts_audio_path,
-                tts_srt_path,
-                display_text=clean_text_for_display(request.text),
-            )
+            try:
+                await generate_tts_gemini(
+                    clean_text,
+                    voice,
+                    request.gemini_api_key,
+                    tts_audio_path,
+                    tts_srt_path,
+                    display_text=clean_text_for_display(request.text),
+                )
+            except Exception as gemini_err:
+                print(f"⚠️ Gemini TTS failed ({gemini_err}), falling back to Edge TTS")
+                await generate_tts_with_subs(
+                    clean_text,
+                    voice,
+                    tts_audio_path,
+                    tts_srt_path,
+                    display_text=clean_text_for_display(request.text),
+                )
         else:
             await generate_tts_with_subs(
                 clean_text,

migration-docker.sql

@@ -88,7 +88,7 @@ CREATE TABLE IF NOT EXISTS openrouter_config (
   id VARCHAR PRIMARY KEY DEFAULT gen_random_uuid(),
   user_id VARCHAR NOT NULL UNIQUE REFERENCES users(id) ON DELETE CASCADE,
   api_key TEXT NOT NULL,
-  model TEXT NOT NULL DEFAULT 'anthropic/claude-3.5-sonnet',
+  model TEXT NOT NULL DEFAULT 'anthropic/claude-sonnet-4.5',
   system_prompt TEXT NOT NULL DEFAULT 'Tu es un expert en marketing des réseaux sociaux. Génère 3 variations de textes engageants pour des publications Facebook et Instagram à partir des informations produit fournies. Chaque variation doit être unique, captivante et optimisée pour l''engagement.',
   created_at TIMESTAMP DEFAULT NOW(),
   updated_at TIMESTAMP DEFAULT NOW()

server/routes.ts

@@ -1844,6 +1844,10 @@ export async function registerRoutes(app: Express): Promise<Server> {
           return res.status(400).json({ error: "Clé API OpenRouter manquante. Veuillez entrer une clé API valide." });
         }
 
+        if (incomingKey && !(await openRouterService.verifyApiKey(incomingKey))) {
+          return res.status(400).json({ error: "Clé API refusée par OpenRouter. Vérifiez que vous avez collé la clé complète (sk-or-v1-...)." });
+        }
+
         config = await storage.updateOpenrouterConfig(userId, finalData);
       } else {
         // Pour les créations, exiger tous les champs
@@ -1851,14 +1855,22 @@ export async function registerRoutes(app: Express): Promise<Server> {
           ...req.body,
           userId,
         });
+
+        if (!(await openRouterService.verifyApiKey(configData.apiKey))) {
+          return res.status(400).json({ error: "Clé API refusée par OpenRouter. Vérifiez que vous avez collé la clé complète (sk-or-v1-...)." });
+        }
+
         config = await storage.createOpenrouterConfig(configData);
       }
 
       // Don't send the API key back
       const { apiKey, ...safeConfig } = config;
       res.json(safeConfig);
-    } catch (error) {
+    } catch (error: any) {
       console.error("Error saving OpenRouter config:", error);
+      if (error.name === 'ZodError') {
+        return res.status(400).json({ error: error.errors[0]?.message || "Données invalides" });
+      }
       res.status(500).json({ error: "Failed to save OpenRouter config" });
     }
   });

server/services/openrouter.ts

@@ -12,29 +12,38 @@ interface GeneratedText {
   characterCount: number;
 }
 
+import crypto from 'crypto';
 import { storage } from '../storage';
 
 export class OpenRouterService {
   private baseUrl = "https://openrouter.ai/api/v1/chat/completions";
 
   async generatePostText(productInfo: ProductInfo, userId: string, modelOverride?: string): Promise<GeneratedText[]> {
-    // Get any available OpenRouter configuration (shared across all users)
-    const config = await storage.getAnyOpenrouterConfig();
+    // Prefer the requesting user's own configuration; fall back to the most
+    // recently saved shared configuration if this user hasn't set one up.
+    const config = (await storage.getOpenrouterConfig(userId)) || (await storage.getAnyOpenrouterConfig());
     
     if (!config) {
       throw new Error('Configuration OpenRouter non trouvée. Veuillez demander à un administrateur de configurer OpenRouter dans les Paramètres.');
     }
 
+    if (!config.apiKey || !config.apiKey.trim()) {
+      throw new Error('Clé API OpenRouter manquante ou vide en base de données. Veuillez la ressaisir dans les Paramètres.');
+    }
+
     const prompt = this.buildPrompt(productInfo, config.systemPrompt);
-    
+
     // Use provided model or fall back to config model
     const modelToUse = modelOverride || config.model;
 
+    const keyFingerprint = crypto.createHash('sha256').update(config.apiKey).digest('hex').slice(0, 8);
+    console.log(`[OpenRouter] Generating with model="${modelToUse}" keyFingerprint=${keyFingerprint} keyLength=${config.apiKey.length} configUserId=${config.userId}`);
+
     try {
       const response = await fetch(this.baseUrl, {
         method: "POST",
         headers: {
-          "Authorization": `Bearer ${config.apiKey}`,
+          "Authorization": `Bearer ${config.apiKey.trim()}`,
           "Content-Type": "application/json",
           "HTTP-Referer": process.env.APP_URL || "http://localhost:5555",
           "X-Title": "Social Flow"
@@ -206,6 +215,22 @@ VERSION 3 - ÉMOTIONNELLE:
     return text.charAt(0).toUpperCase() + text.slice(1).toLowerCase();
   }
 
+  /**
+   * Vérifie qu'une clé API est acceptée par OpenRouter.
+   * Retourne false uniquement sur un rejet d'authentification explicite (401/403) ;
+   * en cas d'erreur réseau, on laisse passer pour ne pas bloquer la sauvegarde.
+   */
+  async verifyApiKey(apiKey: string): Promise<boolean> {
+    try {
+      const response = await fetch("https://openrouter.ai/api/v1/key", {
+        headers: { "Authorization": `Bearer ${apiKey}` }
+      });
+      return response.status !== 401 && response.status !== 403;
+    } catch {
+      return true;
+    }
+  }
+
   async getAvailableModels(): Promise<any[]> {
     try {
       const response = await fetch("https://openrouter.ai/api/v1/models", {

server/storage.ts

@@ -461,7 +461,7 @@ export class DatabaseStorage implements IStorage {
   }
 
   async getAnyOpenrouterConfig(): Promise<OpenrouterConfig | undefined> {
-    const [config] = await db.select().from(openrouterConfig).limit(1);
+    const [config] = await db.select().from(openrouterConfig).orderBy(desc(openrouterConfig.updatedAt)).limit(1);
     return config || undefined;
   }
 

shared/schema.ts

@@ -127,7 +127,7 @@ export const openrouterConfig = pgTable("openrouter_config", {
   id: varchar("id").primaryKey().default(sql`gen_random_uuid()`),
   userId: varchar("user_id").notNull().unique().references(() => users.id, { onDelete: "cascade" }),
   apiKey: text("api_key").notNull(),
-  model: text("model").notNull().default("anthropic/claude-3.5-sonnet"),
+  model: text("model").notNull().default("anthropic/claude-sonnet-4.5"),
   systemPrompt: text("system_prompt").notNull().default("Tu es un expert en marketing des réseaux sociaux. Génère 3 variations de textes engageants pour des publications Facebook et Instagram à partir des informations produit fournies. Chaque variation doit être unique, captivante et optimisée pour l'engagement."),
   createdAt: timestamp("created_at").defaultNow(),
   updatedAt: timestamp("updated_at").defaultNow(),
@@ -394,7 +394,7 @@ export const insertOpenrouterConfigSchema = createInsertSchema(openrouterConfig)
   createdAt: true,
   updatedAt: true,
 }).extend({
-  apiKey: z.string().min(1, "La clé API ne peut pas être vide"),
+  apiKey: z.string().trim().min(20, "La clé API OpenRouter semble incomplète. Collez la clé entière (elle commence par sk-or-v1- et fait environ 73 caractères)."),
 });
 
 export const updateOpenrouterConfigSchema = insertOpenrouterConfigSchema.partial({