npm - @nodefony/devkit - Versions diffs - 10.0.0-beta.5 → 10.0.0-beta.7 - Mend

@nodefony/devkit 10.0.0-beta.5 → 10.0.0-beta.7

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.

Files changed (38) hide show

package/skills/nodefony-browser/scripts/lib/probes.mjs CHANGED Viewed

@@ -27,6 +27,8 @@ export const FAMILIES = Object.freeze({
   stockage: "cookies (attributs, jamais les valeurs) et Web Storage",
   responsive: "débordement horizontal à plusieurs largeurs d'écran",
   pli: "proportions — l'action principale visible sans défiler, la place du bloc principal dans l'écran",
+  notifications:
+    "notifications du navigateur — permission accordée, chaque `new Notification()` relevée (titre, corps, étiquette)",
 });
 /**
@@ -145,7 +147,7 @@ export function parseProbes(raw) {
 }
 /** Verbes qui prennent une VALEUR après la cible. Les autres n'en ont aucune. */
-const VERBS_WITH_VALUE = new Set(["saisir", "choisir"]);
+const VERBS_WITH_VALUE = new Set(["saisir", "choisir", "touche", "deposer"]);
 /** Verbes reconnus d'une action, le premier étant celui par défaut. */
 export const ACTION_VERBS = [
@@ -155,12 +157,30 @@ export const ACTION_VERBS = [
   "survol",
   "saisir",
   "choisir",
+  "deposer",
   "touche",
   "voir",
   "defiler",
+  "molette",
   "attendre",
+  "connecter",
 ];
+/**
+ * La séquence se connecte-t-elle EN COURS de route (`connecter:`) ?
+ *
+ * Alors la page doit s'ouvrir ANONYME — ni état d'authentification repris, ni
+ * connexion préalable : c'est précisément le passage « sans session » →
+ * « avec session », sans recharger, qu'on veut observer. Se connecter avant
+ * aurait rendu l'action sans objet, et la mesure verte pour la mauvaise raison.
+ *
+ * @param actions - la séquence analysée par `parseActions`.
+ * @returns `true` si une action `connecter` y figure.
+ */
+export function signsInMidway(actions) {
+  return actions.some((a) => a.verb === "connecter");
+}
 /**
  * Analyse une séquence d'actions (`NF_BROWSER_ACTIONS`).
  *
@@ -174,8 +194,9 @@ export const ACTION_VERBS = [
  * s'arrêtait en annonçant un élément introuvable, ce qui envoyait chercher un
  * défaut dans la page. D'où deux règles :
  *
- * 1. seuls les verbes qui PRENNENT une valeur (`saisir`, `choisir`) découpent
- *    sur `=` ;
+ * 1. seuls les verbes qui PRENNENT une valeur (`saisir`, `choisir`, `touche`,
+ *    `deposer`)
+ *    découpent sur `=` ;
  *    pour tous les autres, la cible est le reste entier ;
  * 2. même pour ceux-là, la coupure ignore les `=` situés à l'intérieur de
  *    crochets — `saisir:input[name=q]=bonjour` saisit bien « bonjour » dans
@@ -207,6 +228,11 @@ export function parseActions(raw) {
         else if (c === "]") depth = Math.max(0, depth - 1);
         else if (c === "=" && depth === 0) cut = i;
       }
+      // `touche:Enter` SANS `=` : le reste est la TOUCHE, frappée sur
+      // l'élément focalisé — pas un texte à chercher dans la page.
+      if (cut === -1 && verb === "touche") {
+        return { verb, target: "", value: rest.trim() };
+      }
       return cut === -1
         ? { verb, target: rest.trim(), value: "" }
         : {
@@ -240,6 +266,47 @@ export function parseColorScheme(raw) {
   return { schema: null, invalid: v };
 }
+/**
+ * Lit la préférence de mouvement à émuler (`NF_BROWSER_REDUCED_MOTION`) — les
+ * valeurs de la média query standard `prefers-reduced-motion`.
+ *
+ * Pourquoi : une page qui fait apparaître ses sections au défilement (fondu lié
+ * à `animation-timeline: view()`) laisse hors de la vue des textes à demi
+ * transparents. `axe` mesure alors un contraste que personne ne lira jamais à
+ * l'écran — des rouges qui envoient chercher un défaut de palette. `reduce`
+ * coupe ces animations quand la page respecte la préférence, et la mesure
+ * porte alors sur le texte au repos.
+ *
+ * @param {string|undefined} raw - la valeur brute de la variable.
+ * @returns {{ motion: "reduce"|"no-preference"|null, invalid: string|null }}
+ */
+export function parseReducedMotion(raw) {
+  const v = (raw ?? "").trim().toLowerCase();
+  if (!v) return { motion: null, invalid: null };
+  if (v === "reduce" || v === "no-preference")
+    return { motion: v, invalid: null };
+  return { motion: null, invalid: v };
+}
+/**
+ * Rend une expression JS fournie par l'utilisateur ÉVALUABLE dans la page —
+ * une forme fonction (`() => x`, `function`, `async`) y est APPELÉE.
+ *
+ * Le piège est réel : `page.evaluate` et `waitForFunction` évaluent une chaîne
+ * comme une EXPRESSION. Donner « () => x » y définit une fonction sans jamais
+ * l'appeler : l'objet fonction est truthy (une attente réussit TOUJOURS) et ne
+ * se sérialise pas (une lecture rend `undefined`). Faux vert vécu, découvert
+ * seulement en éprouvant le sens négatif.
+ *
+ * @param {string|undefined} raw - expression brute (`NF_BROWSER_UNTIL`, `NF_BROWSER_EVAL`).
+ * @returns {string} l'expression à évaluer, vide si rien n'est demandé.
+ */
+export function pageExpression(raw) {
+  const v = (raw ?? "").trim();
+  if (!v) return "";
+  return /^(\(|function\b|async\b)/.test(v) ? `(${v})()` : v;
+}
 /**
  * Analyse une coupure réseau demandée (`NF_BROWSER_CUT`), au format
  * `<début>:<durée>` en millisecondes — `4000:3000` coupe le réseau 4 s après
@@ -709,3 +776,41 @@ export function browserOrder(explicit) {
   if (v) return [v];
   return ["chromium", "chrome", "msedge"];
 }
+/**
+ * Traduit un nom de navigateur en MOTEUR du pilote et, pour Chromium, en canal.
+ *
+ * Un comportement que dicte une norme — la politique de sécurité du contenu, le
+ * rapport de violation, un cookie `SameSite` — diverge d'un moteur à l'autre :
+ * le constater sous Chromium seul ne dit rien de Firefox ni de Safari. `firefox`
+ * et `webkit` désignent donc les moteurs que le pilote installe lui-même
+ * (`npx playwright install firefox`) ; tout autre nom reste un canal de
+ * Chromium (`chrome`, `msedge`, `chrome-beta`…), comme avant.
+ *
+ * @param {string} name - un nom rendu par `browserOrder`.
+ * @returns {{ engine: "chromium"|"firefox"|"webkit", channel: string|undefined }}
+ *   le moteur à lancer, et le canal Chromium (absent pour les deux autres).
+ */
+export function browserEngine(name) {
+  const v = name.trim().toLowerCase();
+  if (v === "firefox" || v === "webkit")
+    return { engine: v, channel: undefined };
+  return { engine: "chromium", channel: name.trim() };
+}
+/**
+ * Le nom d'un fichier produit par une sonde : préfixe, instant à la seconde,
+ * puis le numéro du processus — deux sondes lancées dans la même seconde
+ * (mesures en parallèle) écrivaient le MÊME fichier, et la seconde capture
+ * effaçait la première sans un mot.
+ *
+ * @param {string} prefix - ce que montre le fichier (`demo-chat`, `lighthouse-…`)
+ * @param {Date} at - l'instant de la mesure
+ * @param {number} pid - le processus qui écrit
+ * @param {string} ext - l'extension, sans point
+ * @returns {string}
+ */
+export function stampedName(prefix, at, pid, ext) {
+  const stamp = at.toISOString().replace(/[:.]/gu, "-").slice(0, 19);
+  return `${prefix}-${stamp}-${pid}.${ext}`;
+}

package/skills/nodefony-browser/scripts/watch.mjs CHANGED Viewed

@@ -15,16 +15,25 @@
  * `@env` NF_BROWSER_UNTIL expression JS évaluée DANS la page ; l'observation s'arrête dès qu'elle est vraie (point d'arrêt applicatif)
  * `@env` NF_BROWSER_CUT coupure réseau `<début>:<durée>` en ms (`4000:3000`), comptée depuis l'ouverture de la page — éprouve la REPRISE d'un flux ; chaque socket dit alors quand il s'est fermé et rouvert
  * `@env` NF_BROWSER_MAXFRAMES nombre de frames WebSocket conservées par sens (défaut 12)
+ * `@env` NF_BROWSER_ACTIONS séquence d'interactions jouée UNE FOIS la page ouverte, PENDANT l'observation — même grammaire que `inspect.mjs` (`clic`, `saisir:Nom=x`, `attendre`…). C'est ce qui fait voir la trame qu'un GESTE envoie : un bouton qui écrit par la socket, un formulaire soumis
  * `@requires` conteneur du profil `browser` démarré · serveur Nodefony joignable
  * `@output` JSON : sockets et leurs frames (horodatées), requêtes non-2xx, erreurs console, verdict de la condition
  */
 import { open, goTo } from "./lib/browser.mjs";
-import { parseCut, sendableCloseCode } from "./lib/probes.mjs";
+import {
+  parseActions,
+  parseCut,
+  pageExpression,
+  sendableCloseCode,
+  signsInMidway,
+} from "./lib/probes.mjs";
+import { playActions } from "./lib/actions.mjs";
 const PAGE = process.argv[2] ?? process.env.NF_BROWSER_PAGE ?? "/";
 const DURATION = Number(process.argv[3] ?? 8000);
 const UNTIL = process.env.NF_BROWSER_UNTIL ?? "";
 const MAX = Number(process.env.NF_BROWSER_MAXFRAMES ?? 12);
+const ACTIONS = parseActions(process.env.NF_BROWSER_ACTIONS);
 const { cut: CUT, invalid: invalidCut } = parseCut(process.env.NF_BROWSER_CUT);
 if (invalidCut) {
   console.error(
@@ -35,7 +44,8 @@ if (invalidCut) {
 // Sockets que la coupure FERME (cf « La coupure réseau » plus bas).
 const isRouted = (url) => !new URL(url).pathname.startsWith("/_vite/");
-const { browser, ctx, page, reuse } = await open();
+const ANONYMOUS = signsInMidway(ACTIONS);
+const { browser, ctx, page, reuse } = await open({ anonymous: ANONYMOUS });
 const t0 = Date.now();
 const at = () => Date.now() - t0;
@@ -144,7 +154,7 @@ if (CUT) {
   });
 }
-await goTo(page, ctx, PAGE, reuse);
+await goTo(page, ctx, PAGE, reuse, { anonymous: ANONYMOUS });
 if (CUT) {
   cutTimers.push(
@@ -168,6 +178,17 @@ if (CUT) {
   );
 }
+// ── Les gestes : joués PENDANT l'observation ───────────────────────────────
+// Les écouteurs sont déjà posés : la trame qu'un clic envoie est enregistrée
+// comme les autres. Une cible introuvable arrête la sonde (code 65), comme
+// `inspect.mjs` — observer un geste qui n'a pas eu lieu ne prouve rien.
+const failed = await playActions(page, ACTIONS);
+if (failed !== null) {
+  console.error(failed.message);
+  await browser.close();
+  process.exit(failed.code);
+}
 // ── Le « point d'arrêt » : une CONDITION, pas une ligne de code ──────────────
 // `waitForFunction` réévalue l'expression dans la page à chaque animation frame.
 // C'est ce qui remplace utilement un breakpoint dans un pilotage automatisé :
@@ -176,14 +197,9 @@ if (CUT) {
 // observe simplement pendant la durée demandée.
 let verdict = "durée écoulée";
 if (UNTIL) {
-  // ⚠️ Une chaîne passée à `waitForFunction` est évaluée comme une EXPRESSION.
-  // Donner « () => x » y définit une fonction sans jamais l'appeler : l'objet
-  // fonction est truthy, donc l'attente réussit TOUJOURS — y compris sur une
-  // condition impossible. Faux vert vécu, découvert seulement en éprouvant le
-  // sens négatif. On invoque donc explicitement les formes fonction.
-  const expr = /^\s*(\(|function\b|async\b)/.test(UNTIL)
-    ? `(${UNTIL})()`
-    : UNTIL;
+  // Une forme fonction est APPELÉE (cf `pageExpression`) : passée telle quelle,
+  // l'attente réussirait TOUJOURS, condition impossible comprise.
+  const expr = pageExpression(UNTIL);
   try {
     await page.waitForFunction(expr, null, { timeout: DURATION });
     verdict = `condition VRAIE après ${at()} ms`;

package/skills/nodefony-dev/SKILL.md CHANGED Viewed

@@ -20,8 +20,8 @@ metadata:
 # nodefony-dev — développer dans cette application sans rien inventer
 > **Maintenance** : vérité courante, jamais un journal. Éditer en place ; l'historique vit dans
-> `git log`. Ce fichier n'a **pas** de `references/` — et c'est une décision mesurée, pas un
-> oubli : sur 1020 transcripts d'agents lâchés dans une application générée, une page de
+> `git log`. Ce fichier n'a qu'UNE page en `references/` (`rapport-de-build.md`, un rapport qu'on
+> lit quand le build le désigne) — et c'est une décision mesurée : sur 1020 transcripts d'agents lâchés dans une application générée, une page de
 > `references/` a été ouverte **0 fois**, quand un script cité comme commande l'a été dans 80 %
 > des cas. Ce qui doit atteindre un agent s'EXÉCUTE ou vit dans ce corps ; ce qu'on déporterait
 > « pour alléger » n'atteindrait plus personne.
@@ -41,18 +41,22 @@ yeux. Ils ont simplement continué sans elle.
 Ces skills sont installés avec le framework et se chargent par leur nom. Chacun porte les pièges
 de son geste, et ceux-là ne se devinent pas — ils se paient.
-| Ce que tu t'apprêtes à faire                                         | Le skill                        |
-| -------------------------------------------------------------------- | ------------------------------- |
-| Une ressource : table, validation, service, REST et WebSocket        | `nodefony-add-crud`             |
-| Une logique métier réutilisable, hors de tout controller             | `nodefony-add-service`          |
-| Un flux temps réel (WebSocket ou SSE), un canal, un abonnement       | `nodefony-add-realtime-channel` |
-| Se connecter : /login, second facteur, retour après connexion, jeton | `nodefony-authentication`       |
-| Réserver une route ou une page à des rôles, ouvrir à un partenaire   | `nodefony-protect-route`        |
-| Changer une entité déjà en base, ou déployer un schéma changé        | `nodefony-migrate-schema`       |
-| Conclure quoi que ce soit d'un ÉCRAN — affichage, contraste, console | `nodefony-browser`              |
-| Quelque chose qui marchait ne marche plus : démarrage, 404, journal  | `nodefony-troubleshoot`         |
-| Relire la sécurité de ton diff AVANT de commiter                     | `nodefony-security-review`      |
-| Monter Nodefony de version, ou une montée qui a laissé des rouges    | `nodefony-upgrade`              |
+| Ce que tu t'apprêtes à faire                                              | Le skill                         |
+| ------------------------------------------------------------------------- | -------------------------------- |
+| Une ressource : table, validation, service, REST et WebSocket             | `nodefony-add-crud`              |
+| Une logique métier réutilisable, hors de tout controller                  | `nodefony-add-service`           |
+| Du temps réel : chat, canal, notification, jeu, sondes, tableau de bord   | `nodefony-add-realtime-channel`  |
+| Afficher qui est en ligne, combien de présents, « en train d'écrire »     | `nodefony-add-realtime-presence` |
+| Des octets en temps réel : image, audio, mesures binaires, CBOR           | `nodefony-add-realtime-binary`   |
+| Exposer ou appeler un service gRPC                                        | `nodefony-add-grpc-service`      |
+| Se connecter : /login, second facteur, retour après connexion, jeton      | `nodefony-authentication`        |
+| Réserver une route ou une page à des rôles, ouvrir à un partenaire        | `nodefony-protect-route`         |
+| Changer une entité déjà en base, ou déployer un schéma changé             | `nodefony-migrate-schema`        |
+| Mettre en production : image, conteneur, variables, santé, plusieurs pods | `nodefony-devops`                |
+| Conclure quoi que ce soit d'un ÉCRAN — affichage, contraste, console      | `nodefony-browser`               |
+| Quelque chose qui marchait ne marche plus : démarrage, 404, journal       | `nodefony-troubleshoot`          |
+| Relire la sécurité de ton diff AVANT de commiter                          | `nodefony-security-review`       |
+| Monter Nodefony de version, ou une montée qui a laissé des rouges         | `nodefony-upgrade`               |
 Aucune ligne ne correspond ? Alors seulement, continue ici. Et si ta tâche est EXACTEMENT celle
 d'un spécialiste, va droit à lui : il n'y a pas à passer par cette page d'abord.
@@ -344,7 +348,8 @@ ont leur skill, qui part du symptôme : **`nodefony-troubleshoot`**.
   par requête = `overlayConfig()` (clés de la liste blanche du module), lue par `useConfig()`.
 - **Tu lis une liste sans la BORNER.** Un `find` sans limite matérialise la table entière —
   indolore sur les quelques lignes du poste de développement, fatal sur les dizaines de milliers
-  de la production. Le service d'une entité hérite `findPage({ limit: 25 })`.
+  de la production. Le service d'une entité hérite `findPage({ limit })` — `limit` est OBLIGATOIRE,
+  aucun défaut ne le pose pour toi : écris-le (`findPage({ limit: 25 })`).
 ### Ce qui tue le processus, pas la requête
@@ -456,6 +461,13 @@ Ne concerne qu'une application qui a un frontend. Sauf mention, **vaut pour les
   sur les scripts, et le navigateur refuse un `<script>` en ligne qui n'en porte pas (« Refused to
   execute inline script »). Un `curl` ne le voit JAMAIS, il ne lit que le corps. Signe le script
   (valeur `this.context?.cspNonce`) ou sors-le dans un fichier servi ; ne desserre PAS la politique.
+- **Une image, une police ou une API tierce est bloquée** (« violates the following Content
+  Security Policy directive ») : AJOUTE l'origine exacte par `headers.cspSources` de
+  `@nodefony/security` (`{ cdn: { "img-src": ["https://cdn.example.com"] } }`), ou sur la seule
+  route qui en a besoin par `@Csp` — ne réécris pas `headers.csp`. Une socket servie depuis une
+  AUTRE origine se déclare par `realtime.publicOrigin`. Ce que les navigateurs ont bloqué se lit,
+  en administrateur, sur `GET /nodefony/security/api/csp-reports` (`headers.cspReport`) — Brave
+  n'envoie aucun rapport, éprouve sous Chrome ou Firefox.
 - **En production, la modification front n'apparaît jamais** : hors développement il n'y a PAS de
   rechargement à chaud, et le manifeste est lu AU BOOT. `npm run build`, puis **redémarre le
   serveur**, puis rechargement forcé.
@@ -474,6 +486,10 @@ npm run verify        # types, style, mise en forme, .env.example, tests, build,
 npm run test:e2e      # boot réel + HTTP/WS — le gate LENT, hors `verify`
 ```
+Ton diff change ce que le build produit (taille, dépendance, build plus lent) ? Chaque build
+écrit un rapport : lis [`references/rapport-de-build.md`](references/rapport-de-build.md) avant de
+recalculer quoi que ce soit à la main.
 Ton diff ajoute une route, une requête ou touche la sécurité ? Relis-le AVANT de commiter :
 skill `nodefony-security-review` — un script y nomme, ligne par ligne, ce qu'un œil laisse passer.

package/skills/nodefony-dev/references/rapport-de-build.md ADDED Viewed

@@ -0,0 +1,19 @@
+# Le rapport de build — ce que pèse ce que tu bâtis
+> Chargé depuis `nodefony-dev` §10, quand un changement touche ce que le build produit.
+Chaque build (`npm run build` : serveur ET front) écrit, sans rien demander, un rapport sous
+`node_modules/.rolldown/report/<dossier de sortie>/` — le chemin relatif au projet, chaque `..`
+devenu `__` (le front bâti dans `public/dist` → `node_modules/.rolldown/report/public/dist/`).
+- **Quand le lire** : une taille qui change, une dépendance qui entre, un paquet présent en deux
+  versions, un build qui ralentit. Pas pour savoir si le build passe : son code de sortie le dit.
+- **Comment** : `entry.md` d'abord (une vingtaine de lignes, il nomme le fichier à ouvrir
+  ensuite). Pour juger TON changement, épingle la base AVANT de modifier
+  (`cp .state.json baseline.json` dans ce dossier), rebâtis, lis `delta.md`. Un chiffre :
+  `jq '.metrics["output.total_bytes"]' metrics.json` — ne lis pas les `.json` en entier.
+- **Ce qu'il ne dit pas** : ses octets sont comptés AVANT minification et compression, jamais
+  un poids réseau ; il ne vérifie aucun type (`npm run typecheck`) ; le mode watch et le serveur
+  de développement n'en écrivent pas ; une installation propre l'efface, base comprise.
+- **Le couper** (côté serveur) : `defineNodefonyRolldownConfig({ buildReport: false })` dans
+  `rolldown.config.ts`.

package/skills/nodefony-devops/SKILL.md CHANGED Viewed

@@ -1,7 +1,7 @@
 ---
 name: nodefony-devops
 metadata:
-  version: 1.1.0
+  version: 1.2.0
 description: >
   Exploite CETTE application Nodefony en conteneur : image, compose, frontal (nginx, HAProxy, h2c,
   Ingress), secrets, variables, Kubernetes, Podman, nombre de pods. N'enseigne pas Docker — il
@@ -80,6 +80,12 @@ Ce que l'application ne peut pas deviner. Chacun de ces oublis produit une dégr
   clair »), le cookie de session perd son préfixe `__Host-`, et l'adresse cliente devient celle du
   frontal — donc une vague de reconnexions WebSocket épuise **un seul** quota. Sans le moindre
   message. Détail et preuve → [`references/frontal.md`](references/frontal.md).
+- **Une seule CSP, et c'est l'application qui la pose.** Elle porte un nonce neuf par page, que le
+  frontal ne peut pas connaître. N'ajoute pas de `Content-Security-Policy` dans nginx, haproxy ou
+  une annotation d'ingress : le navigateur appliquerait les deux, et les scripts signés seraient
+  bloqués — page blanche. La poser au frontal quand même : `headers: { csp: "" }` dans la config
+  de `@nodefony/security`, puis une politique SANS nonce au frontal →
+  `node_modules/@nodefony/security/docs/headers.md` § « Poser la CSP au proxy ».
 - **Une inactivité de frontal ≥ 300 s.** Plus courte que le battement, elle coupe des WebSocket et
   des flux SSE **vivants**. `proxy:generate` la dérive ; un contrôleur d'entrée Kubernetes, non.
 - **Un bus temps réel partagé dès deux exemplaires** : `NF_REALTIME_DRIVER=redis`. Sans lui, un
@@ -116,26 +122,27 @@ Chaque ligne a la commande qui la **prouve**. Une case cochée sans commande est
 Le tableau qu'on lit en urgence.
-| Symptôme                                                        | Cause                                                                                                                                             | Correction                                                                                                                                                                |
-| --------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
-| L'exemplaire redémarre en boucle, journaux muets                | La sonde de vivacité tombe avant la fin du démarrage                                                                                              | Sonde de démarrage sur `/readyz`, dimensionnée sur le **pire** cas                                                                                                        |
-| Le conteneur sort en **137** à l'arrêt                          | Il a été tué : la fenêtre d'arrêt est ≤ au drain                                                                                                  | Fenêtre ≥ 30 s (Podman : `--stop-timeout 20`, son défaut est **10 s**)                                                                                                    |
-| Des `5xx` **pendant** chaque déploiement                        | Le répartiteur envoie encore du trafic quand le drain a commencé                                                                                  | Un délai avant drain, et un court arrêt avant terminaison                                                                                                                 |
-| Le cookie de session n'a pas le préfixe `__Host-` en production | Schéma constaté `http` derrière le frontal                                                                                                        | `NF__HTTP__TRUSTPROXY`                                                                                                                                                    |
-| La WebSocket se ferme seule au bout d'une minute                | L'inactivité du frontal est plus courte que le battement                                                                                          | Régénérer le frontal ; sur un contrôleur d'entrée, `proxy-read-timeout` ≥ 300 s → [`references/frontal.md`](references/frontal.md)                                        |
-| Un message temps réel n'arrive qu'à une partie des clients      | Plusieurs exemplaires, bus local : chaque pod ne diffuse qu'à ses propres clients                                                                 | `NF_REALTIME_DRIVER=redis` + `NF_REDIS_URL` → [`references/dimensionnement.md`](references/dimensionnement.md)                                                            |
-| Depuis l'activation de h2c, le pod n'est jamais prêt            | La sonde vise le port h2c (5153), qui refuse HTTP/1.1                                                                                             | Sonder le port HTTP (5151)                                                                                                                                                |
-| Depuis l'activation de h2c, les WebSocket ne s'ouvrent plus     | Le frontal les envoie au port h2c                                                                                                                 | Router `Upgrade: websocket` vers le port HTTP → [`references/frontal.md`](references/frontal.md) §8                                                                       |
-| `DB_SQLITE_FALLBACK` en production alors que la base est posée  | Le nom de la variable est faux d'un caractère, ou le Secret n'est pas monté dans CE conteneur                                                     | `npx nodefony doctor --env production` nomme la variable lue (`NF_DATABASE_URL` ou `NF_DATABASE_URL_FILE`)                                                                |
-| Le pod est tué (`OOMKilled`) avec peu de connexions             | La contre-pression : des clients lents retiennent jusqu'à 4 Mio chacun                                                                            | Baisser `maxBackpressure` sur `websocket` **et** `websocketSecure` → [`references/dimensionnement.md`](references/dimensionnement.md)                                     |
-| Toutes les connexions répondent `403` « doit passer par HTTPS » | Même cause : le mot de passe arrive sur une requête que l'application croit en clair                                                              | `NF__HTTP__TRUSTPROXY` — jamais `allowInsecureCredentials`                                                                                                                |
-| Sortie **78** au démarrage, une clé ou une variable nommée      | Faute de configuration : clé inconnue (ou retirée par une mise à jour), valeur invalide, secret requis absent (`NF_CSRF_SECRET`, `NF_JWT_KEYSET`) | Lire la ligne qui la nomme ; `npx nodefony doctor --env production` annonce AVANT les variables requises (pas `NF_JWT_KEYSET`, exigée seulement si l'app émet des jetons) |
-| Les journaux d'audit montrent tous la **même adresse**          | L'adresse du client n'est pas propagée, ou le frontal n'est pas de confiance                                                                      | `trustProxy` ; en Podman sans privilèges, **c'est irréparable** (§7)                                                                                                      |
-| `EACCES` au premier démarrage sur un volume                     | Le volume est né `root:root` : monté **par-dessus** un dossier dont l'image avait fixé le porteur                                                 | Volume nommé (il hérite du porteur) ou groupe de système de fichiers                                                                                                      |
-| La base refuse des connexions dès qu'on monte en exemplaires    | Une base administrée les compte ; le pool n'est pas borné                                                                                         | Réduire les exemplaires — le plafond n'est pas encore réglable (§6)                                                                                                       |
-| La sonde répond `429`                                           | Ce n'est **pas** la sonde : c'est la limitation de débit — donc l'appel n'a pas pris le raccourci                                                 | Interroger `/livez` et `/readyz` nus, sans en-tête ni préfixe ajouté                                                                                                      |
-| Un secret retiré du `Dockerfile` reste dans l'image             | Une couche antérieure le contient encore ; l'effacer plus loin ne l'enlève pas                                                                    | `npx nodefony image:check`, et reconstruire sans jamais l'avoir copié                                                                                                     |
-| La variable posée « ne fait rien »                              | Le nom est faux d'un caractère — une variable inconnue est **ignorée**, pas refusée                                                               | `npx nodefony doctor` → [`references/variables.md`](references/variables.md)                                                                                              |
+| Symptôme                                                                         | Cause                                                                                                                                             | Correction                                                                                                                                                                |
+| -------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| L'exemplaire redémarre en boucle, journaux muets                                 | La sonde de vivacité tombe avant la fin du démarrage                                                                                              | Sonde de démarrage sur `/readyz`, dimensionnée sur le **pire** cas                                                                                                        |
+| Page blanche derrière le frontal, console « Refused to execute… blocked by CSP » | Deux CSP : celle de l'application et une ajoutée au frontal                                                                                       | Retirer celle du frontal, ou `headers.csp: ""` dans l'application                                                                                                         |
+| Le conteneur sort en **137** à l'arrêt                                           | Il a été tué : la fenêtre d'arrêt est ≤ au drain                                                                                                  | Fenêtre ≥ 30 s (Podman : `--stop-timeout 20`, son défaut est **10 s**)                                                                                                    |
+| Des `5xx` **pendant** chaque déploiement                                         | Le répartiteur envoie encore du trafic quand le drain a commencé                                                                                  | Un délai avant drain, et un court arrêt avant terminaison                                                                                                                 |
+| Le cookie de session n'a pas le préfixe `__Host-` en production                  | Schéma constaté `http` derrière le frontal                                                                                                        | `NF__HTTP__TRUSTPROXY`                                                                                                                                                    |
+| La WebSocket se ferme seule au bout d'une minute                                 | L'inactivité du frontal est plus courte que le battement                                                                                          | Régénérer le frontal ; sur un contrôleur d'entrée, `proxy-read-timeout` ≥ 300 s → [`references/frontal.md`](references/frontal.md)                                        |
+| Un message temps réel n'arrive qu'à une partie des clients                       | Plusieurs exemplaires, bus local : chaque pod ne diffuse qu'à ses propres clients                                                                 | `NF_REALTIME_DRIVER=redis` + `NF_REDIS_URL` → [`references/dimensionnement.md`](references/dimensionnement.md)                                                            |
+| Depuis l'activation de h2c, le pod n'est jamais prêt                             | La sonde vise le port h2c (5153), qui refuse HTTP/1.1                                                                                             | Sonder le port HTTP (5151)                                                                                                                                                |
+| Depuis l'activation de h2c, les WebSocket ne s'ouvrent plus                      | Le frontal les envoie au port h2c                                                                                                                 | Router `Upgrade: websocket` vers le port HTTP → [`references/frontal.md`](references/frontal.md) §8                                                                       |
+| `DB_SQLITE_FALLBACK` en production alors que la base est posée                   | Le nom de la variable est faux d'un caractère, ou le Secret n'est pas monté dans CE conteneur                                                     | `npx nodefony doctor --env production` nomme la variable lue (`NF_DATABASE_URL` ou `NF_DATABASE_URL_FILE`)                                                                |
+| Le pod est tué (`OOMKilled`) avec peu de connexions                              | La contre-pression : des clients lents retiennent jusqu'à 4 Mio chacun                                                                            | Baisser `maxBackpressure` sur `websocket` **et** `websocketSecure` → [`references/dimensionnement.md`](references/dimensionnement.md)                                     |
+| Toutes les connexions répondent `403` « doit passer par HTTPS »                  | Même cause : le mot de passe arrive sur une requête que l'application croit en clair                                                              | `NF__HTTP__TRUSTPROXY` — jamais `allowInsecureCredentials`                                                                                                                |
+| Sortie **78** au démarrage, une clé ou une variable nommée                       | Faute de configuration : clé inconnue (ou retirée par une mise à jour), valeur invalide, secret requis absent (`NF_CSRF_SECRET`, `NF_JWT_KEYSET`) | Lire la ligne qui la nomme ; `npx nodefony doctor --env production` annonce AVANT les variables requises (pas `NF_JWT_KEYSET`, exigée seulement si l'app émet des jetons) |
+| Les journaux d'audit montrent tous la **même adresse**                           | L'adresse du client n'est pas propagée, ou le frontal n'est pas de confiance                                                                      | `trustProxy` ; en Podman sans privilèges, **c'est irréparable** (§7)                                                                                                      |
+| `EACCES` au premier démarrage sur un volume                                      | Le volume est né `root:root` : monté **par-dessus** un dossier dont l'image avait fixé le porteur                                                 | Volume nommé (il hérite du porteur) ou groupe de système de fichiers                                                                                                      |
+| La base refuse des connexions dès qu'on monte en exemplaires                     | Une base administrée les compte ; le pool n'est pas borné                                                                                         | Réduire les exemplaires — le plafond n'est pas encore réglable (§6)                                                                                                       |
+| La sonde répond `429`                                                            | Ce n'est **pas** la sonde : c'est la limitation de débit — donc l'appel n'a pas pris le raccourci                                                 | Interroger `/livez` et `/readyz` nus, sans en-tête ni préfixe ajouté                                                                                                      |
+| Un secret retiré du `Dockerfile` reste dans l'image                              | Une couche antérieure le contient encore ; l'effacer plus loin ne l'enlève pas                                                                    | `npx nodefony image:check`, et reconstruire sans jamais l'avoir copié                                                                                                     |
+| La variable posée « ne fait rien »                                               | Le nom est faux d'un caractère — une variable inconnue est **ignorée**, pas refusée                                                               | `npx nodefony doctor` → [`references/variables.md`](references/variables.md)                                                                                              |
 ## 6. Kubernetes — ce qui est rendu, et ce qui te reste

package/skills/nodefony-devops/references/dimensionnement.md CHANGED Viewed

@@ -22,7 +22,7 @@ file, et la latence monte.
 Mesurées sur Nodefony **10.0.0**, en **production**, Node 26.10, **un** process, route de banc
 **triviale**, charge de 1 Ko. Chaque débit est ramené à ELU 1 (débit observé ÷ ELU), donc c'est un
 **plafond**. Source et calculateur :
-[peut-on partir en production ?](https://nodefony.github.io/nodefony-core/performance/latest/).
+[peut-on partir en production ?](https://nodefony.net/performance/latest/).
 | Constante                                         | Valeur                        | Ce qu'elle dit                                                                        |
 | ------------------------------------------------- | ----------------------------- | ------------------------------------------------------------------------------------- |

package/skills/nodefony-devops/references/frontal.md CHANGED Viewed

@@ -207,9 +207,12 @@ Avec `--reencrypt`, h2c est ignoré : le port TLS négocie déjà HTTP/2. **C'es
 contre un frontal réel** (HAProxy 3.0, configuration générée) : requête servie en h2c, sonde lue
 sur le port HTTP, WebSocket ouverte sur le port HTTP.
-### nginx — reste en HTTP/1.1 vers l'application
+### nginx — HTTP/1.1 vers l'application, gRPC vers h2c
-nginx ne parle pas HTTP/2 à ses amonts (hors gRPC) : `proxy:generate nginx` ignore h2c.
+nginx ne parle HTTP/2 à ses amonts que par `grpc_pass`. Avec `servers.h2c` actif,
+`proxy:generate nginx` écoute en HTTP/2 et envoie les seuls appels gRPC (`content-type:
+application/grpc…`) au port h2c ; le reste, gRPC-Web compris, garde le port HTTP en HTTP/1.1.
+Re-chiffrement demandé : pas de lien h2c, la configuration le dit en commentaire.
 ### Envoy

package/skills/nodefony-devops/references/image.md CHANGED Viewed

@@ -7,12 +7,13 @@ du frontal ne sort que si tu le demandes explicitement.
 ## 1. La carte
-| Étage       | Base                | Ce qu'il fait                                                         | Descend dans l'image finale ? |
-| ----------- | ------------------- | --------------------------------------------------------------------- | ----------------------------- |
-| `build`     | `node:24-alpine`    | Installe, compile, élague les dépendances de développement            | seulement son `/app`          |
-| `proxyconf` | hérite de `build`   | **Dérive** la configuration nginx et rassemble les fichiers statiques | non — étage intermédiaire     |
-| `edge`      | `nginx:1.30-alpine` | Le frontal, avec la configuration dérivée ci-dessus                   | non — cible séparée           |
-| _(final)_   | `node:24-alpine`    | L'application en production                                           | **oui**                       |
+| Étage       | Base                                  | Ce qu'il fait                                                           | Descend dans l'image finale ? |
+| ----------- | ------------------------------------- | ----------------------------------------------------------------------- | ----------------------------- |
+| `build`     | `node:24-slim`                        | Installe, compile, élague les dépendances de développement              | seulement son `/app`          |
+| `proxyconf` | hérite de `build`                     | **Dérive** la configuration nginx et rassemble les fichiers statiques   | non — étage intermédiaire     |
+| `edge`      | `nginx:1.30-alpine`                   | Le frontal, avec la configuration dérivée ci-dessus                     | non — cible séparée           |
+| `nf-dirs`   | `node:24-slim`                        | Crée `tmp/` et `var/` vides — distroless n'a pas de shell pour le faire | seulement ces deux dossiers   |
+| _(final)_   | `gcr.io/distroless/nodejs24-debian13` | L'application en production — ni shell, ni npm, `node` hors du `PATH`   | **oui**                       |
 ```bash
 docker build -t <app> .                      # l'application
@@ -27,7 +28,7 @@ docker build -t <app>-edge --target edge .   # le frontal, seulement si tu le ve
 | `USER`        | **`1000:1000`** — numérique, donc reportable tel quel dans un `runAsUser`      |
 | `ENV`         | `NODE_ENV=production`                                                          |
 | `EXPOSE`      | `5151`                                                                         |
-| `CMD`         | `["node_modules/.bin/nodefony", "production"]`                                 |
+| `CMD`         | `["node_modules/nodefony/bin/nodefony", "production"]`                         |
 | `HEALTHCHECK` | `/readyz`, intervalle 10 s, délai 2 s, **période de démarrage 20 s**, 3 essais |
 **`node` est le process n° 1.** Il n'y a pas d'`ENTRYPOINT` d'init : le signal `SIGTERM` arrive
@@ -71,14 +72,21 @@ Sans eux l'image se construit quand même — avec des étiquettes vides. Une im
 ## 3. Changer la base — c'est prévu, et c'est écrit dans le fichier
-Le gabarit porte deux alternatives en commentaire, avec leur mode d'emploi. La règle commune :
-**remplacer les DEUX `FROM`, jamais un seul** — un étage de compilation `alpine` et une exécution
-`slim` produisent des binaires natifs qui ne se chargeront pas.
-| Tu veux…                                              | Bascule                                                          | Ce qu'il faut aussi changer                                     |
-| ----------------------------------------------------- | ---------------------------------------------------------------- | --------------------------------------------------------------- |
-| Un paquet natif qui ne publie **pas** de binaire musl | `node:24-slim` (glibc) sur les deux `FROM`                       | rien                                                            |
-| La surface d'attaque minimale                         | `gcr.io/distroless/nodejs24-debian12` en finale, `slim` en build | **`CMD` et `HEALTHCHECK` en `/nodejs/bin/node`** — pas de shell |
+L'image finale est distroless `debian13` : aucune vulnérabilité critique ni haute, Node à jour. Le
+gabarit porte en commentaire comment passer à une base À SHELL, avec son mode d'emploi. La règle
+commune : **l'étage de construction et l'étage final partagent la même libc** — une compilation
+`alpine` (musl) et une exécution glibc produisent des binaires natifs qui ne se chargeront pas.
+| Tu veux…                           | Bascule                              | Ce qu'il faut aussi changer                                                    |
+| ---------------------------------- | ------------------------------------ | ------------------------------------------------------------------------------ |
+| Un `apk add` dans l'image finale   | `node:24-alpine` sur les deux `FROM` | retirer l'étage `nf-dirs`, remettre le `RUN mkdir … && chown`, sonde en `node` |
+| Un shell glibc (`bash`, `apt-get`) | `node:24-slim` sur les deux `FROM`   | idem                                                                           |
+Sous distroless, rien ne lit un shebang : `node` n'est pas sur le `PATH` et il n'y a pas de
+`/usr/bin/env`. L'`ENTRYPOINT` de l'image est `/nodejs/bin/node`, donc une commande se change par ses
+**arguments** — `docker run <image> node_modules/nodefony/bin/nodefony …`, `args:` en Kubernetes (jamais
+`command:`, qui remplacerait l'`ENTRYPOINT`), `command:` dans compose. Un diagnostic :
+`docker exec <conteneur> /nodejs/bin/node …`.
 Le symptôme d'un mélange musl/glibc est franc : un `.node` introuvable, ou `Error relocating`, **au
 démarrage** — jamais à la construction. L'image se construit parfaitement et ne démarre pas.