@hgdc/auth 0.6.0 → 0.6.2

package/README.md

@@ -55,6 +55,32 @@ authComponent.registerRoutes(http, (ctx) => {
 })
 ```
 
+## Clés JWKS statiques côté Convex
+
+Chaque appel HTTP à Convex avec un jeton (le rendu serveur de TanStack Start, `fetchAuthQuery`) fait vérifier ce jeton par le backend Convex, qui ne le met jamais en cache. Avec `getAuthConfigProvider()` seul, il va chercher les clés à `<site>/api/auth/convex/jwks` **à chaque appel** : sous charge, cette adresse répond 429 et la page tombe en erreur. Les clés se donnent donc en dur, par la variable `JWKS` du déploiement Convex :
+
+```ts
+// convex/auth.config.ts
+export default { providers: [getAuthConfigProvider({ jwks: process.env.JWKS })] } satisfies AuthConfig
+
+// convex/auth.ts, dans les plugins
+convex({ authConfig, jwks: process.env.JWKS })
+
+// convex/authKeys.ts
+export const latestJwks = internalAction({
+  args: {},
+  handler: async (ctx) => await createAuth(ctx).api.getLatestJwks(),
+})
+```
+
+Convex refuse un push dont `auth.config.ts` lit une variable absente : la mise en place se fait en deux temps, sur chaque déploiement (prod et dev).
+
+1. Déployer `authKeys.ts` et le plugin `convex({ authConfig, jwks: process.env.JWKS })`, `auth.config.ts` inchangé (le plugin accepte une variable absente).
+2. Poser la variable : `npx convex run authKeys:latestJwks --prod | npx convex env set JWKS --prod` (sans `--prod` pour le dev).
+3. Passer `jwks: process.env.JWKS` à `getAuthConfigProvider` et redéployer.
+
+Un nouveau déploiement (préversion, local) pose `JWKS` avant son premier push. La variable contient la clé privée chiffrée : elle ne sort jamais du déploiement (ni affichée, ni copiée ailleurs). Après une rotation des clés, reposer la variable puis redéployer.
+
 ## Entrée commune `/auth/hgdc`
 
 Le menu « Produits » (`@hgdc/ui/account-menu`) envoie vers `https://<mot>.hgdc.ch/auth/hgdc`, pas vers la page d'accueil publique. Chaque produit monte cette route serveur, au même chemin :

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@hgdc/auth",
-  "version": "0.6.0",
+  "version": "0.6.2",
   "description": "Connexion HGDC : bouton « Se connecter avec HGDC », config better-auth et gardes Convex.",
   "license": "UNLICENSED",
   "homepage": "https://github.com/hugogebel-boop/hgdc-kit/tree/main/packages/auth#readme",