shugoi 0.4.6 → 0.4.7

data/lib/shugoi/notice.rb

@@ -1,97 +1,69 @@
-# frozen_string_literal: true
-
 module Shugoi
-  # Injection de la notice de consentement dans le HTML rendu.
-  # Parité avec injectNoticeScript (render.ts du module Node) : la notice est injectée
-  # dans le HTML APRÈS le split-render (elle ne disparaît pas quand le render remplace
-  # le document). L'ack est décidé côté SERVEUR via /notice (machineId), pas de cookie.
   class Notice
-  # Script renforcé — PARITÉ EXACTE avec NOTICE_SCRIPT de render.ts (module Node) :
-  #   - overlay bloquant z-index max (position:fixed;inset:0;pointer-events:auto)
-  #   - MutationObserver anti-bypass ciblé + garde _applying et mo.takeRecords()
-  #     (anti-boucle infinie : nos propres ré-applications ne re-déclenchent pas le MO)
-  #   - PAS de setInterval, PAS de piège clavier (version légère du module Node)
-  #   - seul OK ferme (ack serveur via POST /notice, lié au machineId)
-  # Les placeholders `mid` et `sk` (et `base`) sont remplacés à l'injection.
-  SCRIPT = <<~'JS'
-    <script>
-    (function(){
-      var mid=window.__sg_mid||'';
-      var sk=window.__sg_siteKey||'';
-      if(!mid||!sk||window.__sg_noticeEnabled===false)return;
-      var base=window.__sg_baseUrl||'';
-      var origin=base.replace(/\/api\/v1\/?$/,'');
-      var _OVERLAY_CSS='position:fixed!important;inset:0!important;z-index:2147483647!important;background:rgba(0,0,0,.6)!important;display:flex!important;align-items:center!important;justify-content:center!important;padding:1.2rem!important;pointer-events:auto!important';
-      var _CARD_CSS='background:#fff!important;border:4px solid #000!important;border-radius:28px 6px 32px 10px!important;box-shadow:14px 14px 0 #000!important;padding:0!important;max-width:720px!important;width:100%!important;text-align:center!important;font-family:Arial,sans-serif!important;display:flex!important;overflow:hidden!important';
-      var _CARD_HTML='<div style="flex:0 0 320px;display:flex;align-items:center;justify-content:center;padding:1.5rem 1rem 1.5rem 3rem;overflow:hidden"><img src="'+origin+'/favicon.png" alt="" style="width:100%;height:auto;max-width:220px;pointer-events:none"></div><div style="flex:1;padding:1.6rem 1.8rem;display:flex;flex-direction:column;align-items:center;justify-content:center;text-align:center"><img src="'+origin+'/brand-block.png" alt="Shugoi" style="display:block;margin:0 0 .3rem;pointer-events:none;max-width:100%;height:auto;max-height:40px"><div style="border:2px solid #000;display:inline-block;border-radius:8px 2px 12px 4px;padding:.2rem .6rem;font-size:.5rem;font-weight:700;text-transform:uppercase;letter-spacing:.1em;color:#E87090;margin-bottom:.6rem">Protection anti-abus</div><p style="font-size:.8rem;color:#555;line-height:1.7;margin:0 .4rem .6rem;max-width:280px">Ce site utilise Shugoi pour se prot\\u00e9ger contre les abus et la fraude. Des caract\\u00e9ristiques techniques de votre navigateur sont analys\\u00e9es pour d\\u00e9tecter les scripts automatis\\u00e9s, Tor, les VPN et les environnements virtuels. Aucune donn\\u00e9e personnelle n\\'est collect\\u00e9e.</p><div style="margin-top:.5rem"><button id="__sg_ok" style="background:#E87090;color:#fff;border:3px solid #000;border-radius:12px 3px 14px 5px;padding:.4rem 2rem;font-size:.8rem;font-weight:700;cursor:pointer">OK</button></div><div style="margin-top:.5rem;font-size:.5rem;color:#ccc"><a href="'+origin+'/legal/shugoi-notice" target="_blank" style="color:#E87090;text-decoration:underline">En savoir plus \\u00b7 shugoi.com</a></div></div>';
-      var _closed=false;
-      var mo=null;
-      var _applying=false;
-      function ack(){try{fetch(base+'/notice',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({machineId:mid,siteKey:sk}),keepalive:true,signal:AbortSignal.timeout(4000)}).catch(function(){})}catch(e){}}
-      function buildOverlay(){
-        var o=document.createElement('div');o.id='__sg_o';o.style.cssText=_OVERLAY_CSS;
-        var c=document.createElement('div');c.id='__sg_cd';c.style.cssText=_CARD_CSS;
-        c.innerHTML=_CARD_HTML;
-        o.appendChild(c);return o;
-      }
-      function close(){_closed=true;try{if(mo)mo.disconnect()}catch(e){}var el=document.getElementById('__sg_o');if(el&&el.parentNode)el.parentNode.removeChild(el);document.body.style.overflow='';document.documentElement.style.overflow='';}
-      function okHandler(){ack();close();}
-      function rebind(){var b=document.getElementById('__sg_ok');if(b)b.onclick=okHandler;}
-      // Anti-bypass 100% MUTATION OBSERVER (aucun setInterval).
-      // CRITIQUE anti-freeze : le flag _applying + mo.takeRecords() cassent la boucle MO —
-      // nos propres modifications (style/innerHTML re-appliqués) ne re-déclenchent PAS le MO
-      // (le navigateur normalise cssText/innerHTML, donc la comparaison échoue toujours et
-      // on ré-appliquerait à l'infini). takeRecords() vide la file des mutations que NOS
-      // changements ont générée → une seule passe par altération réelle, jamais de gel.
-      function enforce(){
-        if(_closed||_applying)return;
-        _applying=true;
-        try{
-          var o=document.getElementById('__sg_o');
-          if(!o){o=buildOverlay();document.documentElement.appendChild(o);}
-          if(o.style.cssText!==_OVERLAY_CSS)o.style.cssText=_OVERLAY_CSS;
-          var c=document.getElementById('__sg_cd');
-          if(!c){o.innerHTML='';o.appendChild(buildOverlay().firstChild);}
-          else{
-            if(c.style.cssText!==_CARD_CSS)c.style.cssText=_CARD_CSS;
-            if(c.innerHTML!==_CARD_HTML)c.innerHTML=_CARD_HTML;
+    SCRIPT = <<~'JS'.freeze
+      <script>
+      (function(){
+        var mid=window.__sg_mid||'';
+        var sk=window.__sg_siteKey||'';
+        if(!mid||!sk||window.__sg_noticeEnabled===false)return;
+        var base=window.__sg_baseUrl||'';
+        var origin=base.replace(/\/api\/v1\/?$/,'');
+        var _OVERLAY_CSS='position:fixed!important;inset:0!important;z-index:2147483647!important;background:rgba(0,0,0,.6)!important;display:flex!important;align-items:center!important;justify-content:center!important;padding:1.2rem!important;pointer-events:auto!important';
+        var _CARD_CSS='background:#fff!important;border:4px solid #000!important;border-radius:28px 6px 32px 10px!important;box-shadow:14px 14px 0 #000!important;padding:0!important;max-width:720px!important;width:100%!important;text-align:center!important;font-family:Arial,sans-serif!important;display:flex!important;overflow:hidden!important';
+        var _CARD_HTML='<div style="flex:0 0 320px;display:flex;align-items:center;justify-content:center;padding:1.5rem 1rem 1.5rem 3rem;overflow:hidden"><img src="'+origin+'/favicon.png" alt="" style="width:100%;height:auto;max-width:220px;pointer-events:none"></div><div style="flex:1;padding:1.6rem 1.8rem;display:flex;flex-direction:column;align-items:center;justify-content:center;text-align:center"><img src="'+origin+'/brand-block.png" alt="Shugoi" style="display:block;margin:0 0 .3rem;pointer-events:none;max-width:100%;height:auto;max-height:40px"><div style="border:2px solid #000;display:inline-block;border-radius:8px 2px 12px 4px;padding:.2rem .6rem;font-size:.5rem;font-weight:700;text-transform:uppercase;letter-spacing:.1em;color:#E87090;margin-bottom:.6rem">Protection anti-abus</div><p style="font-size:.8rem;color:#555;line-height:1.7;margin:0 .4rem .6rem;max-width:280px">Ce site utilise Shugoi pour se prot\\u00e9ger contre les abus et la fraude. Des caract\\u00e9ristiques techniques de votre navigateur sont analys\\u00e9es pour d\\u00e9tecter les scripts automatis\\u00e9s, Tor, les VPN et les environnements virtuels. Aucune donn\\u00e9e personnelle n\\'est collect\\u00e9e.</p><div style="margin-top:.5rem"><button id="__sg_ok" style="background:#E87090;color:#fff;border:3px solid #000;border-radius:12px 3px 14px 5px;padding:.4rem 2rem;font-size:.8rem;font-weight:700;cursor:pointer">OK</button></div><div style="margin-top:.5rem;font-size:.5rem;color:#ccc"><a href="'+origin+'/legal/shugoi-notice" target="_blank" style="color:#E87090;text-decoration:underline">En savoir plus \\u00b7 shugoi.com</a></div></div>';
+        var _closed=false;
+        var mo=null;
+        var _applying=false;
+        function ack(){try{fetch(base+'/notice',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({machineId:mid,siteKey:sk}),keepalive:true,signal:AbortSignal.timeout(4000)}).catch(function(){})}catch(e){}}
+        function buildOverlay(){
+          var o=document.createElement('div');o.id='__sg_o';o.style.cssText=_OVERLAY_CSS;
+          var c=document.createElement('div');c.id='__sg_cd';c.style.cssText=_CARD_CSS;
+          c.innerHTML=_CARD_HTML;
+          o.appendChild(c);return o;
+        }
+        function close(){_closed=true;try{if(mo)mo.disconnect()}catch(e){}var el=document.getElementById('__sg_o');if(el&&el.parentNode)el.parentNode.removeChild(el);document.body.style.overflow='';document.documentElement.style.overflow='';}
+        function okHandler(){ack();close();}
+        function rebind(){var b=document.getElementById('__sg_ok');if(b)b.onclick=okHandler;}
+        function enforce(){
+          if(_closed||_applying)return;
+          _applying=true;
+          try{
+            var o=document.getElementById('__sg_o');
+            if(!o){o=buildOverlay();document.documentElement.appendChild(o);}
+            if(o.style.cssText!==_OVERLAY_CSS)o.style.cssText=_OVERLAY_CSS;
+            var c=document.getElementById('__sg_cd');
+            if(!c){o.innerHTML='';o.appendChild(buildOverlay().firstChild);}
+            else{
+              if(c.style.cssText!==_CARD_CSS)c.style.cssText=_CARD_CSS;
+              if(c.innerHTML!==_CARD_HTML)c.innerHTML=_CARD_HTML;
+            }
+            rebind();
+            if(document.body.style.overflow!=='hidden')document.body.style.overflow='hidden';
+            if(document.documentElement.style.overflow!=='hidden')document.documentElement.style.overflow='hidden';
+            try{
+              if(o&&!o.__sgObserved){o.__sgObserved=true;mo&&mo.observe(o,{childList:true,subtree:true,attributes:true,characterData:true,attributeFilter:['style','class','id']});}
+            }catch(e){}
+          }finally{
+            _applying=false;
+            try{if(mo)mo.takeRecords();}catch(e){}
           }
+        }
+        function show(){
+          _closed=false;
+          var o=buildOverlay();document.documentElement.appendChild(o);
+          document.body.style.overflow='hidden';document.documentElement.style.overflow='hidden';
           rebind();
-          if(document.body.style.overflow!=='hidden')document.body.style.overflow='hidden';
-          if(document.documentElement.style.overflow!=='hidden')document.documentElement.style.overflow='hidden';
           try{
-            if(o&&!o.__sgObserved){o.__sgObserved=true;mo&&mo.observe(o,{childList:true,subtree:true,attributes:true,characterData:true,attributeFilter:['style','class','id']});}
+            mo=new MutationObserver(function(){enforce();});
+            mo.observe(document.documentElement,{childList:true});
+            try{o.__sgObserved=true;mo.observe(o,{childList:true,subtree:true,attributes:true,characterData:true,attributeFilter:['style','class','id']});}catch(e){}
           }catch(e){}
-        }finally{
-          _applying=false;
-          try{if(mo)mo.takeRecords();}catch(e){}
         }
-      }
-      function show(){
-        _closed=false;
-        var o=buildOverlay();document.documentElement.appendChild(o);
-        document.body.style.overflow='hidden';document.documentElement.style.overflow='hidden';
-        rebind();
-        try{
-          mo=new MutationObserver(function(){enforce();});
-          mo.observe(document.documentElement,{childList:true});
-          try{o.__sgObserved=true;mo.observe(o,{childList:true,subtree:true,attributes:true,characterData:true,attributeFilter:['style','class','id']});}catch(e){}
-        }catch(e){}
-      }
-      function init(){if(document.body)show();else if(document.addEventListener)document.addEventListener('DOMContentLoaded',show);else setTimeout(init,50)}
-      fetch(base+'/notice?machineId='+encodeURIComponent(mid)+'&siteKey='+encodeURIComponent(sk),{signal:AbortSignal.timeout(4000)}).then(function(r){return r.json()}).then(function(d){if(!d.acknowledged)init()}).catch(function(){init()});
-    })();
-    </script>
-  JS
-
-    # Injecte la notice dans le HTML rendu (avant </body>).
-    # @param html [String] HTML rendu
-    # @param mid [String] machineId du client
-    # @param site_key [String] siteKey
-    # @param base_url [String] base URL de l'API (injectée : window.__sg_baseUrl est
-    #   nettoyé par _sgCl côté client après ~1,5 s — sinon la notice appellerait /notice
-    #   relatif et l'ack ne passerait jamais)
-    # @return [String] HTML avec la notice injectée
+        function init(){if(document.body)show();else if(document.addEventListener)document.addEventListener('DOMContentLoaded',show);else setTimeout(init,50)}
+        fetch(base+'/notice?machineId='+encodeURIComponent(mid)+'&siteKey='+encodeURIComponent(sk),{signal:AbortSignal.timeout(4000)}).then(function(r){return r.json()}).then(function(d){if(!d.acknowledged)init()}).catch(function(){init()});
+      })();
+      </script>
+    JS
     def self.inject(html, mid, site_key, base_url = "")
       script = SCRIPT
         .gsub("var mid=window.__sg_mid||'';", "var mid=#{JSON.generate(mid)}||'';")

data/lib/shugoi/pow.rb

@@ -1,15 +1,6 @@
-# frozen_string_literal: true
-
 require "securerandom"
 
 module Shugoi
-# Proof-of-work anti-curl + cookies HMAC — parité avec core.ts (module Node) :
-#   salt = HMAC(secret, ts + ':' + nonce)   (nonce 64 bits ALEATOIRE par challenge)
-#   proof = "ts:nonce:solution" où SHA256(salt:solution) a >= POW_DIFFICULTY bits à zéro.
-#   __sg_ok        : ts:ipBucket:uaFp:HMAC(secret, "sg_ok:ts:ipBucket:uaFp") — 30 jours,
-#                    lié au bucket IP + empreinte UA (non rejouable depuis une autre IP),
-#                    saute le pre-flight PoW.
-#   __sg_authorized: ts:HMAC(secret, "sg_authorized:ts") — 120 s, protège les assets /assets/*
   class Pow
     POW_OK_TTL_MS = 30 * 24 * 3600 * 1000
     AUTHORIZED_TTL_MS = 120_000
@@ -20,13 +11,11 @@ module Shugoi
       @ttl_ms = ttl_ms
     end
 
-    # Génère le challenge à injecter (window.__sg_pow).
     def challenge
       ts = Utils.now_sec
       { ts: ts, nonce: nonce, salt: salt(ts, nonce), difficulty: @difficulty }
     end
 
-    # Vérifie un proof "ts:nonce:solution" (fenêtre @ttl_ms, comptage de bits CORRIGÉ).
     def valid?(proof)
       return false if proof.to_s.empty? || @secret.empty?
       ts_str, nonce, solution = proof.to_s.split(":", 3)
@@ -35,13 +24,12 @@ module Shugoi
 
       ts = ts_str.to_i
       return false if ts.zero?
-      return false if (Utils.now_ms - ts * 1000).abs > @ttl_ms
+      return false if (Utils.now_ms - (ts * 1000)).abs > @ttl_ms
 
       digest = Utils.sha256_hex("#{salt(ts_str, nonce)}:#{solution}")
       Utils.leading_zero_bits(digest) >= @difficulty
     end
 
-    # Valeur du cookie __sg_ok (HMAC serveur, 30 j) — lié au bucket IP + empreinte UA.
     def sg_ok_value(ip = "", ua = "")
       ts = Utils.now_sec
       bucket = ip_bucket(ip)
@@ -56,23 +44,19 @@ module Shugoi
 
       ts = ts_str.to_i
       return false if ts.zero?
-      return false if Utils.now_ms - ts * 1000 > POW_OK_TTL_MS
+      return false if Utils.now_ms - (ts * 1000) > POW_OK_TTL_MS
       return false if ts * 1000 > Utils.now_ms + 60_000
-      # Lier au bucket IP + UA courants : un cookie d'une autre IP/UA → invalide.
       return false unless bucket == ip_bucket(ip) && fp == ua_fp(ua)
 
       Utils.secure_equals(sig, Utils.hmac_hex(@secret, "sg_ok:#{ts_str}:#{bucket}:#{fp}"))
     end
 
-    # String Set-Cookie pour __sg_ok (posé par le middleware après une preuve valide).
-    # @return [String, nil] nil si la preuve n'est pas valide
     def sg_ok_cookie(proof, ip = "", ua = "")
       return nil unless valid?(proof)
       secure = production? ? "; Secure" : ""
       "__sg_ok=#{sg_ok_value(ip, ua)}; Path=/; HttpOnly; SameSite=Lax; Max-Age=#{POW_OK_TTL_MS / 1000}#{secure}"
     end
 
-    # Cookie __sg_authorized posé par handleRender après un render réussi (grant valide).
     def sg_authorized_value
       ts = Utils.now_sec
       "#{ts}:#{Utils.hmac_hex(@secret, "sg_authorized:#{ts}")}"
@@ -85,7 +69,7 @@ module Shugoi
 
       ts = ts_str.to_i
       return false if ts.zero?
-      return false if Utils.now_ms - ts * 1000 > AUTHORIZED_TTL_MS
+      return false if Utils.now_ms - (ts * 1000) > AUTHORIZED_TTL_MS
       return false if ts * 1000 > Utils.now_ms + 60_000
 
       Utils.secure_equals(sig, Utils.hmac_hex(@secret, "sg_authorized:#{ts_str}"))
@@ -98,8 +82,6 @@ module Shugoi
 
     private
 
-    # Nonce 64 bits ALEATOIRE par challenge (plus de sel déterministe par seconde →
-    # précomputation par lots impossible). Parité core.ts sgNonce().
     def nonce
       SecureRandom.hex(8)
     end
@@ -108,8 +90,6 @@ module Shugoi
       Utils.hmac_hex(@secret, "#{ts}:#{nonce}")
     end
 
-    # Bucket d'IP (sans ':' pour rester parseable dans le cookie). IPv4 → /24,
-    # IPv6 → 4 hextets. Parité core.ts ipBucket().
     def ip_bucket(ip)
       ip = ip.to_s
       return "0" if ip.empty? || ip == "unknown"
@@ -122,7 +102,6 @@ module Shugoi
       segs.first(4).join(".").empty? ? "0" : segs.first(4).join(".")
     end
 
-    # Empreinte UA (16 hex). Parité core.ts uaFp().
     def ua_fp(ua)
       Utils.sha256_hex(ua.to_s).slice(0, 16)
     end

data/lib/shugoi/rack/middleware.rb

@@ -1,36 +1,28 @@
-# frozen_string_literal: true
-
 require "rack"
 require "json"
 
 module Shugoi
   module Rack
-    # Middleware Rack principal — parité avec createShugoiMiddleware (module Node).
-    #
-    #   use Shugoi::Rack::Middleware, site_key: "sg_sk_live_…", secret: "…"
-    #
-    # Ou via la gem :
-    #   use Shugoi, site_key: "…"
     class Middleware
       def initialize(app, options = {})
         @app = app
         @config = Config.new(options)
         @disk_path_option = options[:disk_path]
         @api_client = ApiClient.new(@config.base_url, debug: @config.debug)
-        # Config (whitelist + flags + skipPaths) et render : via internalUrl pour éviter
-        # le deadlock (appels serveur→serveur qui repasseraient par le middleware public).
         @api_internal = ApiClient.new(@config.internal_url, debug: @config.debug)
         @guard_cache = GuardCache.new(@api_client)
         @config_cache = ConfigCache.new(@api_internal, @config.signing_secret)
         @token_signer = TokenSigner.new(@config.signing_secret)
-        # multi_process → stockage disque du HTML (nécessaire en cluster PM2, parité
-        # enableDiskStore(true) du module Node).
         @html_store = HtmlStore.new(disk_path: disk_path)
         @pow = Pow.new(@config.signing_secret, @config.pow_difficulty, @config.pow_ttl_ms)
         @skeleton = SkeletonGenerator.new(@config, @guard_cache, @config_cache, @token_signer)
+        @guard_injector = GuardInjector.new(@config, @token_signer, @html_store, @skeleton)
         @render = RenderHandler.new(@config, @token_signer, @html_store, @config_cache, @pow)
+        @render_endpoint = RenderEndpoint.new(@render, @pow)
         @core = Core.new(@config, @pow, @api_client, @config_cache)
-        @csp = Csp.build(site_key: @config.site_key, api_origin: Csp.origin_of(@config.base_url), extra_directives: @config.extra_directives, split_render: @config.split_render)
+        @csp = Csp.build(site_key: @config.site_key, api_origin: Csp.origin_of(@config.base_url),
+                         extra_directives: @config.extra_directives, split_render: @config.split_render)
+        @response_processor = ResponseProcessor.new(@config, @csp, @pow, @core.bot_policy, @guard_injector)
       end
 
       def call(env)
@@ -38,25 +30,16 @@ module Shugoi
         query = parse_query(env["QUERY_STRING"].to_s)
         method = env["REQUEST_METHOD"].to_s.upcase
 
-        # Render endpoint — GET/HEAD uniquement (round 13, parité module Node).
         if path.end_with?("/__shugoi/render")
           return method_not_allowed unless %w[GET HEAD].include?(method)
-          return handle_render(env, query)
+          return @render_endpoint.call(env, query)
         end
 
-        # Challenge page — GET/HEAD uniquement.
-        if path == "/__sg_challenge" && !%w[GET HEAD].include?(method)
-          return method_not_allowed
-        end
+        return method_not_allowed if path == "/__sg_challenge" && !%w[GET HEAD].include?(method)
 
-        # SkipPaths (SSR direct) : on laisse l'app servir la page sans challenge ni skeleton.
-        # Parité middleware.ts : le check est AVANT core.evaluate (un skipPath hors allowlist
-        # ne doit PAS passer par le challenge PoW ni la protection des assets).
         if @config.auto_inject && @config.site_key
           cfg = @config_cache.fetch(@config.site_key)
-          if cfg[:skip_paths].include?(path)
-            return @app.call(env)
-          end
+          return @app.call(env) if cfg[:skip_paths].include?(path)
         end
 
         ctx = build_ctx(env, query)
@@ -70,47 +53,8 @@ module Shugoi
           return [decision.status, h, [decision.body]]
         end
 
-        status, resp_headers, body = @app.call(env)
-
-        # Rack 3 exige des noms de headers en minuscules → on normalise.
-        resp_headers = resp_headers.each_with_object({}) { |(k, v), acc| acc[k.to_s.downcase] = v }
-
-        # CSP fusionnée avec celle éventuellement posée par l'app (parité middleware.ts).
-        if @config.csp_enabled
-          existing = resp_headers["content-security-policy"]
-          resp_headers["content-security-policy"] = Csp.merge(existing, @csp)
-        end
-
-        # PoW validé → pose le cookie __sg_ok (navigations suivantes sans challenge).
-        if (proof = query["sg_proof"]) && !decision
-          if (ok_cookie = @pow.sg_ok_cookie(proof, ctx[:ip].to_s, ctx[:ua].to_s))
-            resp_headers["set-cookie"] = ok_cookie
-          end
-        end
-
-        is_bot = @core.is_trusted_bot?(ctx[:ua].to_s, ctx[:ip].to_s)
-
-        # L'allowlist skip le split-render aussi (parité Node : `!core.isAllowlisted(path)`).
-        return [status, resp_headers, body] unless @config.auto_inject && @config.split_render && !is_bot && !@config.is_allowlisted?(path)
-
-        html = body.respond_to?(:each) ? body.each.to_a.join : body.to_s
-        ct = resp_headers["content-type"].to_s
-        if html.include?("<html") && (ct.include?("text/html") || ct.empty?)
-          begin
-            skeleton = inject_guards(html, ctx)
-            body = [skeleton]
-            # CRITIQUE : le bootcode unicode (code points > 917504) s'encode en UTF-8 sur
-            # 4 octets commençant par 0xF3. Sans `charset=utf-8`, le navigateur interprète
-            # le body en Latin-1 → les octets 0xF3 deviennent 'ó' → le décodage
-            # `codePointAt(0)-917504` produit un code point négatif → RangeError.
-            # Forcer UTF-8 est indispensable pour que le skeleton se décode correctement.
-            resp_headers["content-type"] = "text/html; charset=utf-8"
-          rescue StandardError => e
-            warn("[shugoi] inject error: #{e.message}") if @config.debug
-          end
-        end
-
-        [status, resp_headers, body]
+        status, response_headers, body = @app.call(env)
+        @response_processor.call(status, response_headers, body, ctx.merge(path: path), query)
       end
 
       private
@@ -135,54 +79,6 @@ module Shugoi
         }
       end
 
-      def handle_render(env, query)
-        token = query["token"].to_s
-        mid = query["mid"].to_s
-        grant = query["grant"].to_s
-        ip = (env["HTTP_X_FORWARDED_FOR"].to_s.split(",")[0] || "").strip
-        ip = env["REMOTE_ADDR"].to_s if ip.empty?
-        data = @render.render_data(token, mid, grant, ip)
-        headers = {}
-        if data[:html]
-          # Anti-fuite du grant : strict-origin-when-cross-origin (jamais le grant dans
-          # le Referer cross-origin). Contenu protégé : jamais mis en cache (round 6).
-          data[:html] = RenderHandler.inject_referrer_policy(data[:html])
-          headers["referrer-policy"] = "strict-origin-when-cross-origin"
-          headers["cache-control"] = "no-store, no-cache, must-revalidate, no-transform"
-          headers["pragma"] = "no-cache"
-          # Cookie __sg_authorized : autorise ensuite le chargement des assets protégés.
-          headers["set-cookie"] = @pow.sg_authorized_cookie
-        end
-        headers["content-type"] = "application/json"
-        body = JSON.generate(data)
-        [200, headers, [body]]
-      end
-
-      def inject_guards(html, ctx)
-        ts = Utils.now_ms
-        signed = @token_signer.sign(@config.site_key, ts)
-        render_url = "./__shugoi/render"
-
-        # Injecte window.__sg_disableRestrictedAccess si nécessaire.
-        config_script = ""
-        unless @config.restricted_access
-          config_script = "<script>window.__sg_disableRestrictedAccess=true</script>"
-        end
-
-        injected = html
-        if (i = injected.index("</head>"))
-          injected = injected[0...i] + config_script + injected[i..]
-        elsif (m = injected.match(/<body[^>]*>/))
-          at = injected.index(m[0]) + m[0].length
-          injected = injected[0...at] + config_script + injected[at..]
-        else
-          injected = config_script + injected
-        end
-
-        @html_store.store(signed, injected, @config.site_key)
-        @skeleton.generate(@config.site_key, signed, @config.base_url, render_url)
-      end
-
       def method_not_allowed
         body = JSON.generate(error: "method_not_allowed")
         [405, { "content-type" => "application/json" }, [body]]
@@ -192,16 +88,13 @@ module Shugoi
         ::Rack::Utils.parse_nested_query(qs)
       end
 
-      # Chemin du stockage disque (parité enableDiskStore du module Node).
-      # multi_process → répertoire tmp partagé (cluster PM2) ; sinon l'option disk_path
-      # explicite éventuelle.
       def disk_path
         return @disk_path_option if @disk_path_option
         return nil unless @config.multi_process
 
         dir = File.join(Dir.tmpdir, "shugoi-render-#{Process.uid}")
         begin
-          Dir.mkdir(dir, 0o700) unless Dir.exist?(dir)
+          FileUtils.mkdir_p(dir, mode: 0o700)
           File.chmod(0o700, dir)
         rescue StandardError
           return nil

data/lib/shugoi/rails/configuration.rb

@@ -1,8 +1,5 @@
-# frozen_string_literal: true
-
 module Shugoi
   module Rails
-    # Configuration globale pour Rails (équivalent de ShugoiCoreOptions).
     class Configuration
       attr_accessor :site_key, :secret, :signing_secret, :allowlist,
                     :headless_patterns, :bot_whitelist, :base_url, :internal_url,
@@ -11,9 +8,9 @@ module Shugoi
                     :multi_process, :verify_bots, :pow_difficulty, :pow_ttl_ms
 
       def initialize
-        @site_key = ENV["SHUGOI_SITE_KEY"]
-        @secret = ENV["SHUGOI_SECRET"]
-        @signing_secret = ENV["SHUGOI_SIGNING_SECRET"] || ENV["SHUGOKI_SIGNING_SECRET"]
+        @site_key = ENV.fetch("SHUGOI_SITE_KEY", nil)
+        @secret = ENV.fetch("SHUGOI_SECRET", nil)
+        @signing_secret = ENV["SHUGOI_SIGNING_SECRET"] || ENV.fetch("SHUGOKI_SIGNING_SECRET", nil)
         @allowlist = ["/api", "/legal"]
         @headless_patterns = Shugoi::DEFAULT_HEADLESS_PATTERNS
         @bot_whitelist = Shugoi::DEFAULT_BOT_WHITELIST
@@ -57,7 +54,7 @@ module Shugoi
           verify_bots: @verify_bots,
           pow_difficulty: @pow_difficulty,
           pow_ttl_ms: @pow_ttl_ms
-        }.reject { |_, v| v.nil? }
+        }.compact
       end
     end
   end

data/lib/shugoi/rails/railtie.rb

@@ -1,15 +1,5 @@
-# frozen_string_literal: true
-
 module Shugoi
   module Rails
-    # Intégration Rails : monte le middleware et expose la configuration.
-    #
-    #   # config/initializers/shugoi.rb
-    #   Shugoi.configure do |config|
-    #     config.site_key = "sg_sk_live_…"
-    #     config.secret = "…"
-    #     config.debug = Rails.env.development?
-    #   end
     class Railtie < ::Rails::Railtie
       initializer "shugoi.middleware" do |app|
         app.middleware.use Shugoi::Rack::Middleware, Shugoi.config.to_options

data/lib/shugoi/rate_limit_formatter.rb

@@ -0,0 +1,13 @@
+module Shugoi
+  class RateLimitFormatter
+    def self.remaining(seconds)
+      minutes = seconds / 60
+      seconds_part = seconds % 60
+      if minutes.positive?
+        "#{minutes} min#{'s' if minutes > 1}#{" #{seconds_part} s" if seconds_part.positive?}"
+      else
+        "#{seconds_part} seconde#{'s' if seconds_part > 1}"
+      end
+    end
+  end
+end

data/lib/shugoi/render_endpoint.rb

@@ -0,0 +1,24 @@
+require "json"
+
+module Shugoi
+  class RenderEndpoint
+    def initialize(renderer, pow)
+      @renderer = renderer
+      @pow = pow
+    end
+
+    def call(env, query)
+      ip = (env["HTTP_X_FORWARDED_FOR"].to_s.split(",")[0] || "").strip
+      ip = env["REMOTE_ADDR"].to_s if ip.empty?
+      data = @renderer.render_data(query["token"].to_s, query["mid"].to_s, query["grant"].to_s, ip)
+      headers = { "content-type" => "application/json" }
+      if data[:html]
+        data[:html] = RenderHandler.inject_referrer_policy(data[:html])
+        headers.merge!("referrer-policy" => "strict-origin-when-cross-origin",
+                       "cache-control" => "no-store, no-cache, must-revalidate, no-transform",
+                       "pragma" => "no-cache", "set-cookie" => @pow.sg_authorized_cookie)
+      end
+      [200, headers, [JSON.generate(data)]]
+    end
+  end
+end

data/lib/shugoi/render_handler.rb

@@ -1,8 +1,4 @@
-# frozen_string_literal: true
-
 module Shugoi
-  # Traite la requête /__shugoi/render : vérifie token + grant, sert le HTML stocké.
-  # Parité avec renderResponseData + handleRender (render.ts).
   class RenderHandler
     def initialize(config, token_signer, html_store, config_cache, _pow = nil)
       @config = config
@@ -11,30 +7,17 @@ module Shugoi
       @config_cache = config_cache
     end
 
-    # @param token [String] token render
-    # @param mid [String] machineId (SHA-256 du fingerprint, 64 hex)
-    # @param grant [String] render-grant
-    # @param ip [String]
-    # @return [Hash] { html: … } ou { error: "not_found" }
     def render_data(token, mid, grant, ip)
       return { error: "not_found" } if token.to_s.empty? || token.length < 16 || token.length > 300
-
-      # Le token doit appartenir à CE siteKey (CRITIQUE 1 §7bis).
       tok_site_key = token.split(":")[0]
       return { error: "not_found" } if tok_site_key != @config.site_key
-
-      # Expiration du token.
       tok_ts = token.split(":")[1].to_i
       return { error: "not_found" } if !tok_ts.zero? && Utils.now_ms - tok_ts > HtmlStore::TOKEN_TTL_MS
-
-      # Anti-bypass token-only : grant valide requis (lié au siteKey + mid hex-64 + TTL 60s).
       return { error: "not_found" } unless @token_signer.verify_render_grant(mid, grant, token, ip, @config.site_key)
 
       content_replace_on = content_replace_flag?(token)
       html = @html_store.read(token)
       return { html: inject_notice(html, mid) } if html
-
-      # Fallback content-replace OFF : renvoie le HTML du site.
       unless content_replace_on
         site_html = @html_store.site_html(tok_site_key)
         return { html: inject_notice(site_html, mid) } if site_html
@@ -45,9 +28,6 @@ module Shugoi
       { error: "not_found" }
     end
 
-    # Anti-fuite du grant (parité injectReferrerPolicy de render.ts) : strict-origin-when-
-    # cross-origin (PAS no-referrer — casserait les embeds YouTube 153). Injecté dans le
-    # HTML rendu AVANT document.write, le grant n'est plus dans l'URL de la page.
     def self.inject_referrer_policy(html)
       meta = '<meta name="referrer" content="strict-origin-when-cross-origin">'
       if html.include?("<head>")
@@ -61,8 +41,6 @@ module Shugoi
 
     private
 
-    # Injecte la notice de consentement (parité handleRender : `if (data.html && mid)`),
-    # avec la base URL injectée (window.__sg_baseUrl est nettoyé par _sgCl côté client).
     def inject_notice(html, mid)
       return html if mid.to_s.empty?
       Notice.inject(html, mid, @config.site_key, @config.base_url)

data/lib/shugoi/response_processor.rb

@@ -0,0 +1,36 @@
+module Shugoi
+  class ResponseProcessor
+    def initialize(config, csp, pow, bot_policy, guard_injector)
+      @config = config
+      @csp = csp
+      @pow = pow
+      @bot_policy = bot_policy
+      @guard_injector = guard_injector
+    end
+
+    def call(status, headers, body, context, query)
+      headers = headers.each_with_object({}) { |(key, value), result| result[key.to_s.downcase] = value }
+      headers["content-security-policy"] = Csp.merge(headers["content-security-policy"], @csp) if @config.csp_enabled
+      proof = query["sg_proof"]
+      headers["set-cookie"] = @pow.sg_ok_cookie(proof, context[:ip].to_s, context[:ua].to_s) if proof
+      return [status, headers, body] unless @config.auto_inject && @config.split_render
+      return [status, headers, body] if @bot_policy.trusted?(context[:ua].to_s, context[:ip].to_s)
+      return [status, headers, body] if @config.allowlisted?(context[:path].to_s)
+
+      html = body.respond_to?(:each) ? body.each.to_a.join : body.to_s
+      return [status, headers, body] unless html.include?("<html")
+      unless headers["content-type"].to_s.empty? || headers["content-type"].to_s.include?("text/html")
+        return [status, headers,
+                body]
+      end
+
+      begin
+        body = [@guard_injector.call(html)]
+        headers["content-type"] = "text/html; charset=utf-8"
+      rescue StandardError => e
+        warn("[shugoi] inject error: #{e.message}") if @config.debug
+      end
+      [status, headers, body]
+    end
+  end
+end