@nodefony/framework 10.0.0-beta.6 → 10.0.0-beta.7

package/dist/types/nodefony/grpc/index.d.ts

@@ -0,0 +1,13 @@
+/**
+ * `@nodefony/framework/grpc` — déclarer un service gRPC dans un module
+ * (ADR-0026 D1).
+ *
+ * Sous-chemin à part : le point d'entrée principal de `@nodefony/framework`
+ * ne cite ni Connect ni protobuf (D12). L'importer charge Connect au
+ * démarrage — ce que fait tout contrôleur gRPC, et seulement lui.
+ *
+ * @experimental Surface gRPC, ADR-0026 D11.
+ */
+export { GrpcController } from "./GrpcController.js";
+export { GrpcService } from "./GrpcService.js";
+export type { GrpcServiceClass } from "./GrpcService.js";

package/dist/types/nodefony/interfaces/IController.d.ts

@@ -1,4 +1,4 @@
-import type { contextRequest, HTTPMethod, HttpResponse, Http2Response, WebsocketResponse, Session, ContextType } from "@nodefony/http";
+import type { contextRequest, HTTPMethod, HttpResponse, Http2Response, WebsocketResponse, Session, ContextType, IUploadedFile } from "@nodefony/http";
 import type { Module, FileClass, MaybePromise } from "nodefony";
 import type { OutgoingHttpHeaders } from "node:http";
 import type { ReadStream } from "node:fs";
@@ -11,7 +11,7 @@ export interface IController {
     session?: Session | null;
     method?: HTTPMethod | undefined;
     query: Record<string, unknown>;
-    files: readonly unknown[];
+    files: readonly IUploadedFile[];
     body: Record<string, unknown>;
     module?: Module | undefined;
     setContext(context: ContextType): void;

package/dist/types/nodefony/service/router.d.ts

@@ -60,10 +60,11 @@ declare class Router extends Service implements IRequestRouter {
      *   lieu de `context.request.url` — permet de router un path **porté par un message**
      *   (WS-RPC `invoke`) vers une action, sans muter l'URL de la connexion (état partagé).
      *   `undefined` (cas hot path normal) → comportement inchangé.
-     * @param methodOverride - méthode HTTP **logique** à exiger en plus du transport
-     *   WEBSOCKET (pont WS-RPC `api.request` d'une MUTATION) : lève l'ambiguïté
-     *   GET-via-WS / POST-via-WS sur un même chemin (`context.method` = "WEBSOCKET").
-     *   `undefined` (GET/HTTP) → match historique sur `context.method`.
+     * @param methodOverride - méthode HTTP **logique** du pont WS-RPC `api.request`,
+     *   GET compris, exigée en plus du transport WEBSOCKET par la règle du cœur
+     *   `bridgeServesVerb` : un GET n'atteint jamais une action POST du même
+     *   chemin. `undefined` (requête HTTP, ouverture de socket) → match sur
+     *   `context.method`.
      * @returns un `Resolver` (`.resolve === true` si une route a matché) — ou,
      *   pour un chemin servi en WebSocket SEULEMENT et demandé en HTTP, un
      *   `Resolver` dont `exception` porte le `426` (en-têtes `Upgrade` posés) :

package/dist/types/nodefony/src/Controller.d.ts

@@ -3,7 +3,7 @@ import type { DefaultEventsMap, EventsMap, IRequestUser, MaybePromise } from "no
 import type { IController } from "../interfaces/index.js";
 import Route from "./Route.js";
 import { contextRequest, HTTPMethod, HttpResponse, Session, ContextType, Http2Response, WebsocketResponse } from "@nodefony/http";
-import type { ByteStreamSource, IByteStreamOptions, IByteStreamResult, ISseStreamOptions, SseStream } from "@nodefony/http";
+import type { ByteStreamSource, IByteStreamOptions, IByteStreamResult, ISseStreamOptions, IUploadedFile, SseStream } from "@nodefony/http";
 import { OutgoingHttpHeaders } from "node:http";
 import { ReadStream } from "node:fs";
 import Eta from "../service/Eta.js";
@@ -69,6 +69,7 @@ export type ControllerScope = "request" | "singleton";
  * @param config - section `fileServing` validée
  */
 export declare function configureFileServing(config: IFileServingConfig): void;
+export declare function contentDisposition(type: "attachment" | "inline", name: string): string;
 declare class Controller extends Service implements IController {
     #private;
     static prefix: string;
@@ -144,8 +145,8 @@ declare class Controller extends Service implements IController {
      * texte du même corps sont dans {@link body}. Pour une action typée,
      * préférer `@UploadedFiles()`.
      */
-    get files(): readonly unknown[];
-    set files(value: readonly unknown[]);
+    get files(): readonly IUploadedFile[];
+    set files(value: readonly IUploadedFile[]);
     /**
      * Le CORPS de la requête, parsé — nom universel de l'écosystème (Express,
      * Fastify, NestJS). Jamais un paramètre d'URL : ceux-là sont dans
@@ -290,6 +291,17 @@ declare class Controller extends Service implements IController {
      * });
      * ```
      *
+     * HEAD sans lancer le producteur — toute route GET sert HEAD, la source n'y
+     * est jamais lue. `Readable.from([])` seul est en mode OBJET, donc refusé
+     * (500) : le mode octets se demande.
+     * ```ts
+     * if (this.method === "HEAD") {
+     *   return this.renderStream(Readable.from([], { objectMode: false }), {
+     *     headers: { "content-type": "video/mp4" },
+     *   });
+     * }
+     * ```
+     *
      * @param source - flux Node, ou flux web ; jamais en mode objet.
      * @param options - statut, en-têtes, `idleTimeout`, `stallTimeout`,
      *   `maxDuration`, `onClose(reason)`.

package/dist/types/nodefony/src/Resolver.d.ts

@@ -58,12 +58,12 @@ declare class Resolver implements IResolver {
      */
     queryOverride: Record<string, unknown> | null;
     /**
-     * Méthode HTTP **logique** d'une invocation par le pont WS-RPC `api.request`
-     * quand c'est une MUTATION (POST/PUT/PATCH/DELETE). Posée par
-     * `Router.resolve(ctx, cleanPath, methodOverride)` → consommée par `match()`
-     * pour désambiguïser, sur le transport WEBSOCKET unique, la route logique
-     * visée (cf `Route.matchRequirements`). `null` (GET/HTTP) = match historique
-     * sur `context.method`.
+     * Méthode HTTP **logique** d'une invocation par le pont WS-RPC `api.request`,
+     * GET compris. Posée par `Router.resolve(ctx, cleanPath, methodOverride)` →
+     * consommée par `match()` pour désambiguïser, sur le transport WEBSOCKET
+     * unique, la route logique visée (règle `bridgeServesVerb` du cœur, cf
+     * `Route.matchRequirements`). `null` (requête HTTP, ouverture de socket) =
+     * match sur `context.method`.
      */
     methodOverride: string | null;
     /**
@@ -363,7 +363,15 @@ declare class Resolver implements IResolver {
     /**
      * Rend la valeur d'une action sur le transport, selon sa nature : promesse
      * (démêlée puis re-rendue), texte, Buffer, réponse déjà construite, scalaire
-     * ou objet (auto-JSON), rien (l'action envoie elle-même).
+     * ou objet (auto-JSON), rien (l'action envoie elle-même) — et, en HTTP, une
+     * `Response` Web standard (`fetch()`, `new Response(…)`, `Response.json(…)`)
+     * ou un flux d'octets nu (`Readable` Node, `ReadableStream` Web), envoyés EN
+     * FLUX par `HttpContext.openWebResponse` / `HttpContext.openStream`.
+     *
+     * Ces deux-là sont reconnus APRÈS l'objet simple et le tableau : l'auto-JSON,
+     * le cas courant, ne paie aucun test de plus. Une réponse déjà partie
+     * (`sended`) n'est jamais réécrite ; une `Response` renvoyée en plus voit
+     * alors son corps annulé, pour ne pas retenir l'amont.
      *
      * Pas `async` : l'envelopper dans une promesse de plus ne changeait rien au
      * rendu, et coûtait une suspension à chaque requête (#505). La valeur n'est
@@ -375,6 +383,25 @@ declare class Resolver implements IResolver {
      * @throws de façon SYNCHRONE ce que lève un envoi synchrone.
      */
     returnController(result: unknown): MaybePromise<unknown>;
+    /**
+     * Aiguille une valeur OBJET rendue par l'action — dans l'ordre de fréquence :
+     * le tableau et l'objet simple (auto-JSON) d'abord, les instances rares
+     * ensuite. Partie de {@link Resolver.returnController}.
+     *
+     * @param result - un objet non nul.
+     * @returns ce que rend l'envoi, ou `undefined` quand il n'y a rien à envoyer.
+     */
+    private returnObject;
+    /**
+     * Ce qui arrive quand l'action ne rend RIEN d'envoyable (`undefined`,
+     * `null`, une fonction…) : en HTTP, la redirection posée ou le statut sans
+     * corps part ; sinon la requête est marquée non rendue (`waitAsync`). Partie
+     * de {@link Resolver.returnController}.
+     *
+     * @param result - la valeur rendue par l'action.
+     * @returns l'envoi d'une redirection ou d'un statut sans corps, sinon `undefined`.
+     */
+    private returnNothing;
     /** Statut courant de la réponse (0 si le transport n'en porte pas). */
     private getResponseStatus;
     /**

package/dist/types/nodefony/src/Route.d.ts

@@ -1,4 +1,5 @@
 import { HTTPMethod, SchemeType, ContextType } from "@nodefony/http";
+import type { IRouteUploadOptions } from "@nodefony/http";
 import type { IRoute } from "../interfaces/index.js";
 import type { RouteActionMeta } from "../decorators/routerDecorators.js";
 import Controller from "./Controller.js";
@@ -77,6 +78,26 @@ export interface RouteOptions {
      * aucun coût par requête. Défaut `false`.
      */
     fallback?: boolean;
+    /**
+     * Délai de réponse de CETTE route (ms), à la place du `responseTimeout` du
+     * serveur — dans les deux sens : un export lent le relève sans relever celui
+     * des autres routes, une route qui doit répondre vite l'abaisse.
+     *
+     * Même nature que celui du serveur : un délai d'INACTIVITÉ. Une action qui
+     * envoie au fil de l'eau (flux, SSE) n'est pas coupée ; une action muette au
+     * delà reçoit 503 et son `ctx.signal` est annulé. Entier de 0 à 2³¹−1 ;
+     * `0` désactive le délai pour la route. Absent = celui du serveur.
+     */
+    responseTimeout?: number;
+    /**
+     * Bornes d'envoi de CETTE route, à la place de celles de la configuration
+     * http (`upload.*`) — dans les deux sens, clé par clé : un dépôt de vidéos
+     * relève `maxFileSize`, un avatar l'abaisse, et le fichier trop gros reçoit
+     * 413 PENDANT son flux, avant d'avoir rempli le disque. `hashAlgorithm` y
+     * demande l'empreinte de chaque fichier reçu. Entiers ≥ 1 ; une clé absente
+     * garde la valeur de la configuration. Exclu avec `bodyStream: true`.
+     */
+    upload?: IRouteUploadOptions;
 }
 export interface RouteRequirements {
     domain?: string | string[] | undefined;
@@ -135,6 +156,13 @@ declare class Route implements IRoute {
     areaRoleExempt: boolean;
     /** Route de repli, résolue après toutes les autres. Cf {@link RouteOptions.fallback}. */
     fallback: boolean;
+    /**
+     * Délai de réponse PROPRE à la route (ms), `null` = celui du serveur.
+     * Cf {@link RouteOptions.responseTimeout}.
+     */
+    responseTimeout: number | null;
+    /** Bornes d'envoi propres à la route. Cf {@link RouteOptions.upload}. */
+    upload: IRouteUploadOptions | null;
     /**
      * P2.9 — Cache mémoïsé : l'action attend-elle le **flux brut** du body
      * (`@Body({ stream:true })`) ? `undefined` = pas encore calculé (résolu au 1er
@@ -142,6 +170,13 @@ declare class Route implements IRoute {
      * ensuite). Lu en amont par `handleHttp` pour sauter le parse.
      */
     bodyStream?: boolean | undefined;
+    /**
+     * Route servie par un point d'entrée gRPC — posé au démarrage par
+     * `markGrpcRoute` (`@nodefony/http/grpc`), jamais à la main.
+     *
+     * @experimental Surface gRPC, ADR-0026 D11.
+     */
+    grpc?: boolean | undefined;
     /**
      * P5 — Metadata d'action figées (`@HttpCode`/`@Header`/`@Redirect`/params/
      * session), memo au 1er hit comme {@link bodyStream} : `undefined` = pas

package/dist/types/nodefony/src/loginPage.d.ts

@@ -141,4 +141,4 @@ export declare function buildLoginPageView(page: ILoginPageDescription, request:
  * d'empreinte (`i-finger`) reprend `IconFingerprint` de Tabler Icons (MIT),
  * celle du bouton de Studio : les deux écrans montrent le même geste.
  */
-export declare const LOGIN_PAGE_TEMPLATE = "<!doctype html>\n<html lang=\"fr\"<% if (it.theme) { %> data-theme=\"<%= it.theme %>\"<% } %>>\n  <head>\n    <meta charset=\"utf-8\" />\n    <meta name=\"viewport\" content=\"width=device-width, initial-scale=1\" />\n    <meta name=\"color-scheme\" content=\"dark light\" />\n    <meta name=\"robots\" content=\"noindex\" />\n    <% if (it.nonce) { %><meta property=\"csp-nonce\" nonce=\"<%= it.nonce %>\"><% } %>\n    <title><%= it.title %> \u2014 <%= it.brand %></title>\n    <link rel=\"icon\" href=\"<%= it.logoHref %>\" type=\"image/svg+xml\" />\n<% if (!it.theme) { %>\n    <script nonce=\"<%= it.nonce %>\">try{var t=localStorage.getItem(\"nf-login-theme\");if(t===\"light\"||t===\"dark\")document.documentElement.dataset.theme=t}catch(e){}</script>\n<% } %>\n    <link rel=\"stylesheet\" href=\"<%= it.styleHref %>\" />\n<% if (it.skinHref) { %>\n    <link rel=\"stylesheet\" href=\"<%= it.skinHref %>\" />\n<% } %>\n<% if (it.stylesheetHref) { %>\n    <link rel=\"stylesheet\" href=\"<%= it.stylesheetHref %>\" />\n<% } %>\n    <script type=\"module\" src=\"<%= it.scriptHref %>\" nonce=\"<%= it.nonce %>\"></script>\n  </head>\n  <body data-skin=\"<%= it.skin %>\" data-layout=\"<%= it.layout %>\"<% if (it.backdrop) { %> data-backdrop<% } %><% if (it.ssoFirst) { %> data-sso-first<% } %>>\n    <svg width=\"0\" height=\"0\" style=\"position: absolute\" aria-hidden=\"true\">\n      <symbol id=\"i-user\" viewBox=\"0 0 24 24\"><circle cx=\"12\" cy=\"8\" r=\"3.5\" /><path d=\"M5.5 20a6.5 6.5 0 0 1 13 0\" /></symbol>\n      <symbol id=\"i-lock\" viewBox=\"0 0 24 24\"><rect x=\"5\" y=\"10.5\" width=\"14\" height=\"10\" rx=\"2\" /><path d=\"M8.5 10.5V7.5a3.5 3.5 0 0 1 7 0v3\" /></symbol>\n      <symbol id=\"i-eye\" viewBox=\"0 0 24 24\"><path d=\"M2.5 12S6 5.5 12 5.5 21.5 12 21.5 12 18 18.5 12 18.5 2.5 12 2.5 12Z\" /><circle cx=\"12\" cy=\"12\" r=\"2.8\" /></symbol>\n      <symbol id=\"i-arrow\" viewBox=\"0 0 24 24\"><path d=\"M5 12h14M13 6l6 6-6 6\" /></symbol>\n      <symbol id=\"i-key\" viewBox=\"0 0 24 24\"><circle cx=\"8\" cy=\"15\" r=\"3.8\" /><path d=\"M10.8 12.2 19.5 3.5M16.5 6.5l2.5 2.5M14 9l2 2\" /></symbol>\n      <symbol id=\"i-check\" viewBox=\"0 0 24 24\"><path d=\"M5 12.5l4.5 4.5L19 7.5\" /></symbol>\n      <symbol id=\"i-finger\" viewBox=\"0 0 24 24\"><path d=\"M18.9 7a8 8 0 0 1 1.1 5v1a6 6 0 0 0 .8 3\" /><path d=\"M8 11a4 4 0 0 1 8 0v1a10 10 0 0 0 2 6\" /><path d=\"M12 11v2a14 14 0 0 0 2.5 8\" /><path d=\"M8 15a18 18 0 0 0 1.8 6\" /><path d=\"M4.9 19a22 22 0 0 1-.9-7v-1a8 8 0 0 1 12-6.95\" /></symbol>\n      <symbol id=\"i-sun\" viewBox=\"0 0 24 24\"><circle cx=\"12\" cy=\"12\" r=\"4\" /><path d=\"M12 2.5v2M12 19.5v2M4.6 4.6l1.4 1.4M18 18l1.4 1.4M2.5 12h2M19.5 12h2M4.6 19.4 6 18M18 6l1.4-1.4\" /></symbol>\n      <symbol id=\"i-moon\" viewBox=\"0 0 24 24\"><path d=\"M20 14.5A8 8 0 0 1 9.5 4a8 8 0 1 0 10.5 10.5Z\" /></symbol>\n      <symbol id=\"i-shield\" viewBox=\"0 0 24 24\"><path d=\"M12 3l7.5 3v5.5c0 4.6-3.2 8-7.5 9.5-4.3-1.5-7.5-4.9-7.5-9.5V6z\" /></symbol>\n      <symbol id=\"m-github\" viewBox=\"0 0 16 16\"><path d=\"M8 0C3.58 0 0 3.58 0 8c0 3.54 2.29 6.53 5.47 7.59.4.07.55-.17.55-.38 0-.19-.01-.82-.01-1.49-2.01.37-2.53-.49-2.69-.94-.09-.23-.48-.94-.82-1.13-.28-.15-.68-.52-.01-.53.63-.01 1.08.58 1.23.82.72 1.21 1.87.87 2.33.66.07-.52.28-.87.51-1.07-1.78-.2-3.64-.89-3.64-3.95 0-.87.31-1.59.82-2.15-.08-.2-.36-1.02.08-2.12 0 0 .67-.21 2.2.82.64-.18 1.32-.27 2-.27s1.36.09 2 .27c1.53-1.04 2.2-.82 2.2-.82.44 1.1.16 1.92.08 2.12.51.56.82 1.27.82 2.15 0 3.07-1.87 3.75-3.65 3.95.29.25.54.73.54 1.48 0 1.07-.01 1.93-.01 2.2 0 .21.15.46.55.38A8.01 8.01 0 0 0 16 8c0-4.42-3.58-8-8-8Z\" /></symbol>\n    </svg>\n    <header class=\"nf-strip\">\n      <div class=\"nf-strip-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n    </header>\n    <div class=\"nf-layout\">\n      <aside class=\"nf-hero\" aria-hidden=\"true\">\n        <div class=\"nf-hero-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n<% if (it.hero === null) { %>\n        <div class=\"nf-home\">\n          <img\n            class=\"nf-home-logo\"\n            src=\"<%= it.logoHref %>\"\n            alt=\"\"\n          />\n          <h2>Le framework Node.js fullstack</h2>\n          <p class=\"sub\">\n            Temps r\u00E9el natif \u00B7 d\u00E9veloppement agentic-ready \u00B7 socle TypeScript\n            isomorphe\n          </p>\n          <p class=\"sig\">\n            Une action de contr\u00F4leur. Deux transports. La m\u00EAme session, la m\u00EAme\n            s\u00E9curit\u00E9, le m\u00EAme code.\n          </p>\n          <ul class=\"badges\">\n            <li class=\"agentic\">Agentic ready</li>\n            <li>Node.js \u2265 24.14</li>\n            <li>TypeScript strict</li>\n            <li>ESM only</li>\n            <li>Licence Apache 2.0</li>\n          </ul>\n          <div\n            class=\"install\"\n            role=\"img\"\n            aria-label=\"Commande d'installation : npx nodefony create app\"\n          >\n            <span class=\"p\">$</span><span>npx nodefony create app</span>\n          </div>\n          <div class=\"features\">\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <polygon\n                    points=\"13 2 3 14 12 14 11 22 21 10 12 10 13 2\"\n                  /></svg\n              ></span>\n              <h3>Temps r\u00E9el natif</h3>\n              <p>\n                Le WebSocket n'est pas un ajout : m\u00EAme pipeline, m\u00EAme table de\n                routes, m\u00EAme s\u00E9curit\u00E9 que le HTTP.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <path d=\"M12 22s8-4 8-10V5l-8-3-8 3v7c0 6 8 10 8 10z\" />\n                  <path d=\"m9 12 2 2 4-4\" /></svg\n              ></span>\n              <h3>S\u00E9curit\u00E9 par conception</h3>\n              <p>\n                Pare-feu applicatif par zones, Zero Trust, CSRF Fetch Metadata,\n                sessions hybrides, WebAuthn.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <rect x=\"3\" y=\"3\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"14\" y=\"3\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"3\" y=\"14\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"14\" y=\"14\" width=\"7\" height=\"7\" rx=\"1\" /></svg\n              ></span>\n              <h3>DI & modules</h3>\n              <p>\n                Injection de d\u00E9pendances par d\u00E9corateurs, modules autonomes,\n                configuration valid\u00E9e au boot.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <circle cx=\"12\" cy=\"12\" r=\"9\" />\n                  <path\n                    d=\"M3 12h18M12 3c2.5 2.6 4 5.7 4 9s-1.5 6.4-4 9c-2.5-2.6-4-5.7-4-9s1.5-6.4 4-9z\"\n                  /></svg\n              ></span>\n              <h3>Socle isomorphe</h3>\n              <p>\n                Le m\u00EAme paquet c\u00F4t\u00E9 serveur et c\u00F4t\u00E9 navigateur : client temps\n                r\u00E9el, r\u00E8gles et types \u00E9crits une fois.\n              </p>\n            </div>\n          </div>\n        </div>\n        <small>Propuls\u00E9 par Nodefony</small>\n<% } else if (it.hero) { %>\n        <div class=\"nf-home\">\n          <h2><%= it.hero.heading %></h2>\n<% if (it.hero.text) { %>\n          <p class=\"sub\"><%= it.hero.text %></p>\n<% } %>\n        </div>\n<% } %>\n      </aside>\n      <main class=\"nf-stage\" data-nf-login data-from=\"<%= it.from %>\">\n        <button type=\"button\" class=\"nf-theme\" data-theme-toggle aria-label=\"Basculer entre th\u00E8me clair et th\u00E8me sombre\"><svg class=\"nf-icon t-sun\" aria-hidden=\"true\"><use href=\"#i-sun\" /></svg><svg class=\"nf-icon t-moon\" aria-hidden=\"true\"><use href=\"#i-moon\" /></svg></button>\n        <section class=\"nf-card\" aria-labelledby=\"nf-title\">\n          <div class=\"nf-head\">\n            <div class=\"nf-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n            <h1 id=\"nf-title\"><%= it.title %></h1>\n            <p class=\"nf-sub\" id=\"nf-sub\"><%= it.lead %></p>\n          </div>\n          <div class=\"nf-body\">\n<% if (it.password) { %>\n            <ol class=\"nf-steps\" aria-label=\"\u00C9tapes\">\n              <li data-tab=\"identifier\" aria-current=\"step\">Identifiant</li>\n              <li data-tab=\"password\">Mot de passe</li>\n              <li data-tab=\"mfa\" hidden>V\u00E9rification</li>\n            </ol>\n            <form data-step=\"identifier\">\n              <div class=\"nf-field\">\n                <label for=\"nf-username\">Identifiant ou adresse e-mail</label>\n                <div class=\"nf-input\">\n                  <svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-user\" /></svg>\n                  <input id=\"nf-username\" name=\"username\" autocomplete=\"username\" autocapitalize=\"none\" spellcheck=\"false\" required />\n                </div>\n              </div>\n              <button class=\"nf-btn primary\" type=\"submit\">Continuer<svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-arrow\" /></svg></button>\n            </form>\n            <form data-step=\"password\" hidden>\n              <!-- Compte de l'\u00E9tape pr\u00E9c\u00E9dente, masqu\u00E9 : le gestionnaire de mots de passe\n                   associe le mot de passe \u00E0 CE compte (HTML, jeton \u00AB username \u00BB). -->\n              <input name=\"username\" autocomplete=\"username\" hidden readonly tabindex=\"-1\" />\n              <div class=\"nf-account\">\n                <span class=\"nf-avatar\" aria-hidden=\"true\"></span><span class=\"who\"></span>\n                <button type=\"button\" class=\"nf-link\" data-go=\"identifier\">Changer</button>\n              </div>\n              <div class=\"nf-field\">\n                <div class=\"nf-label-row\"><label for=\"nf-password\">Mot de passe</label></div>\n                <div class=\"nf-input\">\n                  <svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-lock\" /></svg>\n                  <input id=\"nf-password\" name=\"password\" type=\"password\" autocomplete=\"current-password\" required />\n                  <button type=\"button\" class=\"nf-reveal\" data-reveal aria-label=\"Afficher le mot de passe\" aria-pressed=\"false\"><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-eye\" /></svg></button>\n                </div>\n              </div>\n              <button class=\"nf-btn primary\" type=\"submit\">Se connecter<svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-arrow\" /></svg></button>\n            </form>\n            <form data-step=\"mfa\" hidden>\n              <div class=\"nf-field\">\n                <label id=\"nf-otp-label\">Code \u00E0 6 chiffres</label>\n                <div class=\"nf-otp\" role=\"group\" aria-labelledby=\"nf-otp-label\">\n                  <input inputmode=\"numeric\" maxlength=\"1\" autocomplete=\"one-time-code\" aria-label=\"Chiffre 1\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 2\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 3\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 4\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 5\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 6\" />\n                </div>\n              </div>\n              <p class=\"nf-hint\">Le code affich\u00E9 par votre application d'authentification.</p>\n              <button class=\"nf-btn primary\" type=\"submit\">V\u00E9rifier</button>\n            </form>\n<% } %>\n<% if (it.password || it.passkey) { %>\n            <div data-step=\"authenticated\" hidden>\n              <div class=\"nf-done\" role=\"status\">\n                <span class=\"ring\" aria-hidden=\"true\"><svg class=\"nf-icon\"><use href=\"#i-check\" /></svg></span>\n                <strong>Session ouverte</strong><span class=\"dest\"></span>\n                <span class=\"nf-progress\" aria-hidden=\"true\"><span></span></span>\n              </div>\n            </div>\n<% } %>\n<% if (it.providers.length > 0 || it.passkey) { %>\n            <div data-alt>\n<% if (it.password) { %>\n              <div class=\"nf-or\">ou</div>\n<% } %>\n              <div class=\"nf-alt\">\n<% if (it.passkey) { %>\n                <button type=\"button\" class=\"nf-btn span\" data-passkey hidden><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-finger\" /></svg>Passkey / empreinte digitale</button>\n<% } %>\n<% it.providers.forEach(function (provider) { %>\n                <a class=\"nf-btn\" href=\"<%= provider.href %>\"><% if (provider.image) { %><img class=\"nf-icon\" src=\"<%= provider.image %>\" alt=\"\" /><% } else { %><svg class=\"<%= provider.icon === 'm-github' ? 'nf-mark' : 'nf-icon' %>\" aria-hidden=\"true\"><use href=\"#<%= provider.icon %>\" /></svg><% } %><% if (provider.caption) { %><span class=\"nf-label\"><%= provider.label %><small><%= provider.caption %></small></span><% } else { %><%= provider.label %><% } %></a>\n<% }) %>\n              </div>\n            </div>\n<% } %>\n            <div class=\"nf-message\" aria-live=\"polite\" data-message><% if (it.empty) { %><p class=\"nf-alert\" role=\"alert\"><span class=\"code\">\u2014</span><span>Aucun moyen de connexion n'est disponible pour le moment. Pr\u00E9venez l'administrateur du site.</span></p><% } else if (it.notice) { %><p class=\"nf-alert\" role=\"alert\"><span class=\"code\">SSO</span><span><%= it.notice %></span></p><% } %></div>\n<% if (it.password || it.passkey) { %>\n            <noscript><p class=\"nf-hint\">Cette page a besoin de JavaScript pour vous connecter.</p></noscript>\n<% } %>\n          </div>\n        </section>\n<% if (it.picker) { %>\n        <form class=\"nf-picker\" method=\"get\" data-preview-picker<% if (it.picker.hook) { %> data-preview-hook=\"<%= it.picker.hook %>\"<% } %> aria-label=\"Aper\u00E7u de la page (d\u00E9veloppement)\">\n          <input type=\"hidden\" name=\"from\" value=\"<%= it.from %>\" />\n          <label>Habillage <select name=\"skin\"><% it.picker.skins.forEach(function (skin) { %><option value=\"<%= skin %>\"<% if (skin === it.skin) { %> selected<% } %>><%= skin %></option><% }) %></select></label>\n          <label>Mise en page <select name=\"layout\"><% it.picker.layouts.forEach(function (layout) { %><option value=\"<%= layout %>\"<% if (layout === it.layout) { %> selected<% } %>><%= layout %></option><% }) %></select></label>\n          <noscript><button type=\"submit\">Appliquer</button></noscript>\n        </form>\n<% } %>\n<% if (it.footer) { %>\n        <div class=\"nf-foot\">\n          <ul class=\"nf-facts\" aria-label=\"Protection de la session\">\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>cookie HttpOnly</li>\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>anti-CSRF</li>\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>CSP stricte</li>\n          </ul>\n          <a class=\"nf-powered\" href=\"https://github.com/nodefony/nodefony-core\" rel=\"noopener noreferrer\"><img class=\"nf-logo nf-logo-mono\" src=\"<%= it.logoHref %>\" alt=\"\" />Propuls\u00E9 par Nodefony</a>\n        </div>\n<% } %>\n      </main>\n    </div>\n  </body>\n</html>\n";
+export declare const LOGIN_PAGE_TEMPLATE = "<!doctype html>\n<html lang=\"fr\"<% if (it.theme) { %> data-theme=\"<%= it.theme %>\"<% } %>>\n  <head>\n    <meta charset=\"utf-8\" />\n    <meta name=\"viewport\" content=\"width=device-width, initial-scale=1\" />\n    <meta name=\"color-scheme\" content=\"dark light\" />\n    <meta name=\"robots\" content=\"noindex\" />\n    <% if (it.nonce) { %><meta property=\"csp-nonce\" nonce=\"<%= it.nonce %>\"><% } %>\n    <title><%= it.title %> \u2014 <%= it.brand %></title>\n    <link rel=\"icon\" href=\"<%= it.logoHref %>\" type=\"image/svg+xml\" />\n<% if (!it.theme) { %>\n    <script nonce=\"<%= it.nonce %>\">try{var t=localStorage.getItem(\"nf-login-theme\");if(t===\"light\"||t===\"dark\")document.documentElement.dataset.theme=t}catch(e){}</script>\n<% } %>\n    <link rel=\"stylesheet\" href=\"<%= it.styleHref %>\" />\n<% if (it.skinHref) { %>\n    <link rel=\"stylesheet\" href=\"<%= it.skinHref %>\" />\n<% } %>\n<% if (it.stylesheetHref) { %>\n    <link rel=\"stylesheet\" href=\"<%= it.stylesheetHref %>\" />\n<% } %>\n    <script type=\"module\" src=\"<%= it.scriptHref %>\" nonce=\"<%= it.nonce %>\"></script>\n  </head>\n  <body data-skin=\"<%= it.skin %>\" data-layout=\"<%= it.layout %>\"<% if (it.backdrop) { %> data-backdrop<% } %><% if (it.ssoFirst) { %> data-sso-first<% } %>>\n    <svg width=\"0\" height=\"0\" style=\"position: absolute\" aria-hidden=\"true\">\n      <symbol id=\"i-user\" viewBox=\"0 0 24 24\"><circle cx=\"12\" cy=\"8\" r=\"3.5\" /><path d=\"M5.5 20a6.5 6.5 0 0 1 13 0\" /></symbol>\n      <symbol id=\"i-lock\" viewBox=\"0 0 24 24\"><rect x=\"5\" y=\"10.5\" width=\"14\" height=\"10\" rx=\"2\" /><path d=\"M8.5 10.5V7.5a3.5 3.5 0 0 1 7 0v3\" /></symbol>\n      <symbol id=\"i-eye\" viewBox=\"0 0 24 24\"><path d=\"M2.5 12S6 5.5 12 5.5 21.5 12 21.5 12 18 18.5 12 18.5 2.5 12 2.5 12Z\" /><circle cx=\"12\" cy=\"12\" r=\"2.8\" /></symbol>\n      <symbol id=\"i-arrow\" viewBox=\"0 0 24 24\"><path d=\"M5 12h14M13 6l6 6-6 6\" /></symbol>\n      <symbol id=\"i-key\" viewBox=\"0 0 24 24\"><circle cx=\"8\" cy=\"15\" r=\"3.8\" /><path d=\"M10.8 12.2 19.5 3.5M16.5 6.5l2.5 2.5M14 9l2 2\" /></symbol>\n      <symbol id=\"i-check\" viewBox=\"0 0 24 24\"><path d=\"M5 12.5l4.5 4.5L19 7.5\" /></symbol>\n      <symbol id=\"i-finger\" viewBox=\"0 0 24 24\"><path d=\"M18.9 7a8 8 0 0 1 1.1 5v1a6 6 0 0 0 .8 3\" /><path d=\"M8 11a4 4 0 0 1 8 0v1a10 10 0 0 0 2 6\" /><path d=\"M12 11v2a14 14 0 0 0 2.5 8\" /><path d=\"M8 15a18 18 0 0 0 1.8 6\" /><path d=\"M4.9 19a22 22 0 0 1-.9-7v-1a8 8 0 0 1 12-6.95\" /></symbol>\n      <symbol id=\"i-sun\" viewBox=\"0 0 24 24\"><circle cx=\"12\" cy=\"12\" r=\"4\" /><path d=\"M12 2.5v2M12 19.5v2M4.6 4.6l1.4 1.4M18 18l1.4 1.4M2.5 12h2M19.5 12h2M4.6 19.4 6 18M18 6l1.4-1.4\" /></symbol>\n      <symbol id=\"i-moon\" viewBox=\"0 0 24 24\"><path d=\"M20 14.5A8 8 0 0 1 9.5 4a8 8 0 1 0 10.5 10.5Z\" /></symbol>\n      <symbol id=\"i-shield\" viewBox=\"0 0 24 24\"><path d=\"M12 3l7.5 3v5.5c0 4.6-3.2 8-7.5 9.5-4.3-1.5-7.5-4.9-7.5-9.5V6z\" /></symbol>\n      <symbol id=\"m-github\" viewBox=\"0 0 16 16\"><path d=\"M8 0C3.58 0 0 3.58 0 8c0 3.54 2.29 6.53 5.47 7.59.4.07.55-.17.55-.38 0-.19-.01-.82-.01-1.49-2.01.37-2.53-.49-2.69-.94-.09-.23-.48-.94-.82-1.13-.28-.15-.68-.52-.01-.53.63-.01 1.08.58 1.23.82.72 1.21 1.87.87 2.33.66.07-.52.28-.87.51-1.07-1.78-.2-3.64-.89-3.64-3.95 0-.87.31-1.59.82-2.15-.08-.2-.36-1.02.08-2.12 0 0 .67-.21 2.2.82.64-.18 1.32-.27 2-.27s1.36.09 2 .27c1.53-1.04 2.2-.82 2.2-.82.44 1.1.16 1.92.08 2.12.51.56.82 1.27.82 2.15 0 3.07-1.87 3.75-3.65 3.95.29.25.54.73.54 1.48 0 1.07-.01 1.93-.01 2.2 0 .21.15.46.55.38A8.01 8.01 0 0 0 16 8c0-4.42-3.58-8-8-8Z\" /></symbol>\n    </svg>\n    <header class=\"nf-strip\">\n      <div class=\"nf-strip-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n    </header>\n    <div class=\"nf-layout\">\n      <aside class=\"nf-hero\" aria-hidden=\"true\">\n        <div class=\"nf-hero-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n<% if (it.hero === null) { %>\n        <div class=\"nf-home\">\n          <img\n            class=\"nf-home-logo\"\n            src=\"<%= it.logoHref %>\"\n            alt=\"\"\n          />\n          <h2>Le framework Node.js fullstack</h2>\n          <p class=\"sub\">\n            Temps r\u00E9el natif \u00B7 d\u00E9veloppement agentic-ready \u00B7 socle TypeScript\n            isomorphe\n          </p>\n          <p class=\"sig\">\n            Une action de contr\u00F4leur. Deux transports. La m\u00EAme session, la m\u00EAme\n            s\u00E9curit\u00E9, le m\u00EAme code.\n          </p>\n          <ul class=\"badges\">\n            <li class=\"agentic\">Agentic ready</li>\n            <li>Node.js 24.16+ ou 26+</li>\n            <li>TypeScript strict</li>\n            <li>ESM only</li>\n            <li>Licence Apache 2.0</li>\n          </ul>\n          <div\n            class=\"install\"\n            role=\"img\"\n            aria-label=\"Commande d'installation : npx nodefony create app\"\n          >\n            <span class=\"p\">$</span><span>npx nodefony create app</span>\n          </div>\n          <div class=\"features\">\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <polygon\n                    points=\"13 2 3 14 12 14 11 22 21 10 12 10 13 2\"\n                  /></svg\n              ></span>\n              <h3>Temps r\u00E9el natif</h3>\n              <p>\n                Le WebSocket n'est pas un ajout : m\u00EAme pipeline, m\u00EAme table de\n                routes, m\u00EAme s\u00E9curit\u00E9 que le HTTP.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <path d=\"M12 22s8-4 8-10V5l-8-3-8 3v7c0 6 8 10 8 10z\" />\n                  <path d=\"m9 12 2 2 4-4\" /></svg\n              ></span>\n              <h3>S\u00E9curit\u00E9 par conception</h3>\n              <p>\n                Pare-feu applicatif par zones, Zero Trust, CSRF Fetch Metadata,\n                sessions hybrides, WebAuthn.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <rect x=\"3\" y=\"3\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"14\" y=\"3\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"3\" y=\"14\" width=\"7\" height=\"7\" rx=\"1\" />\n                  <rect x=\"14\" y=\"14\" width=\"7\" height=\"7\" rx=\"1\" /></svg\n              ></span>\n              <h3>DI & modules</h3>\n              <p>\n                Injection de d\u00E9pendances par d\u00E9corateurs, modules autonomes,\n                configuration valid\u00E9e au boot.\n              </p>\n            </div>\n            <div class=\"feature\">\n              <span class=\"ic\"\n                ><svg\n                  viewBox=\"0 0 24 24\"\n                  fill=\"none\"\n                  stroke=\"currentColor\"\n                  stroke-width=\"2\"\n                  stroke-linecap=\"round\"\n                  stroke-linejoin=\"round\"\n                  aria-hidden=\"true\"\n                >\n                  <circle cx=\"12\" cy=\"12\" r=\"9\" />\n                  <path\n                    d=\"M3 12h18M12 3c2.5 2.6 4 5.7 4 9s-1.5 6.4-4 9c-2.5-2.6-4-5.7-4-9s1.5-6.4 4-9z\"\n                  /></svg\n              ></span>\n              <h3>Socle isomorphe</h3>\n              <p>\n                Le m\u00EAme paquet c\u00F4t\u00E9 serveur et c\u00F4t\u00E9 navigateur : client temps\n                r\u00E9el, r\u00E8gles et types \u00E9crits une fois.\n              </p>\n            </div>\n          </div>\n        </div>\n        <small>Propuls\u00E9 par Nodefony</small>\n<% } else if (it.hero) { %>\n        <div class=\"nf-home\">\n          <h2><%= it.hero.heading %></h2>\n<% if (it.hero.text) { %>\n          <p class=\"sub\"><%= it.hero.text %></p>\n<% } %>\n        </div>\n<% } %>\n      </aside>\n      <main class=\"nf-stage\" data-nf-login data-from=\"<%= it.from %>\">\n        <button type=\"button\" class=\"nf-theme\" data-theme-toggle aria-label=\"Basculer entre th\u00E8me clair et th\u00E8me sombre\"><svg class=\"nf-icon t-sun\" aria-hidden=\"true\"><use href=\"#i-sun\" /></svg><svg class=\"nf-icon t-moon\" aria-hidden=\"true\"><use href=\"#i-moon\" /></svg></button>\n        <section class=\"nf-card\" aria-labelledby=\"nf-title\">\n          <div class=\"nf-head\">\n            <div class=\"nf-brand\"><img class=\"nf-logo\" src=\"<%= it.logo %>\" alt=\"\" /><%= it.brand %></div>\n            <h1 id=\"nf-title\"><%= it.title %></h1>\n            <p class=\"nf-sub\" id=\"nf-sub\"><%= it.lead %></p>\n          </div>\n          <div class=\"nf-body\">\n<% if (it.password) { %>\n            <ol class=\"nf-steps\" aria-label=\"\u00C9tapes\">\n              <li data-tab=\"identifier\" aria-current=\"step\">Identifiant</li>\n              <li data-tab=\"password\">Mot de passe</li>\n              <li data-tab=\"mfa\" hidden>V\u00E9rification</li>\n            </ol>\n            <form data-step=\"identifier\">\n              <div class=\"nf-field\">\n                <label for=\"nf-username\">Identifiant ou adresse e-mail</label>\n                <div class=\"nf-input\">\n                  <svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-user\" /></svg>\n                  <input id=\"nf-username\" name=\"username\" autocomplete=\"username\" autocapitalize=\"none\" spellcheck=\"false\" required />\n                </div>\n              </div>\n              <button class=\"nf-btn primary\" type=\"submit\">Continuer<svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-arrow\" /></svg></button>\n            </form>\n            <form data-step=\"password\" hidden>\n              <!-- Compte de l'\u00E9tape pr\u00E9c\u00E9dente, masqu\u00E9 : le gestionnaire de mots de passe\n                   associe le mot de passe \u00E0 CE compte (HTML, jeton \u00AB username \u00BB). -->\n              <input name=\"username\" autocomplete=\"username\" hidden readonly tabindex=\"-1\" />\n              <div class=\"nf-account\">\n                <span class=\"nf-avatar\" aria-hidden=\"true\"></span><span class=\"who\"></span>\n                <button type=\"button\" class=\"nf-link\" data-go=\"identifier\">Changer</button>\n              </div>\n              <div class=\"nf-field\">\n                <div class=\"nf-label-row\"><label for=\"nf-password\">Mot de passe</label></div>\n                <div class=\"nf-input\">\n                  <svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-lock\" /></svg>\n                  <input id=\"nf-password\" name=\"password\" type=\"password\" autocomplete=\"current-password\" required />\n                  <button type=\"button\" class=\"nf-reveal\" data-reveal aria-label=\"Afficher le mot de passe\" aria-pressed=\"false\"><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-eye\" /></svg></button>\n                </div>\n              </div>\n              <button class=\"nf-btn primary\" type=\"submit\">Se connecter<svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-arrow\" /></svg></button>\n            </form>\n            <form data-step=\"mfa\" hidden>\n              <div class=\"nf-field\">\n                <label id=\"nf-otp-label\">Code \u00E0 6 chiffres</label>\n                <div class=\"nf-otp\" role=\"group\" aria-labelledby=\"nf-otp-label\">\n                  <input inputmode=\"numeric\" maxlength=\"1\" autocomplete=\"one-time-code\" aria-label=\"Chiffre 1\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 2\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 3\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 4\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 5\" /><input inputmode=\"numeric\" maxlength=\"1\" aria-label=\"Chiffre 6\" />\n                </div>\n              </div>\n              <p class=\"nf-hint\">Le code affich\u00E9 par votre application d'authentification.</p>\n              <button class=\"nf-btn primary\" type=\"submit\">V\u00E9rifier</button>\n            </form>\n<% } %>\n<% if (it.password || it.passkey) { %>\n            <div data-step=\"authenticated\" hidden>\n              <div class=\"nf-done\" role=\"status\">\n                <span class=\"ring\" aria-hidden=\"true\"><svg class=\"nf-icon\"><use href=\"#i-check\" /></svg></span>\n                <strong>Session ouverte</strong><span class=\"dest\"></span>\n                <span class=\"nf-progress\" aria-hidden=\"true\"><span></span></span>\n              </div>\n            </div>\n<% } %>\n<% if (it.providers.length > 0 || it.passkey) { %>\n            <div data-alt>\n<% if (it.password) { %>\n              <div class=\"nf-or\">ou</div>\n<% } %>\n              <div class=\"nf-alt\">\n<% if (it.passkey) { %>\n                <button type=\"button\" class=\"nf-btn span\" data-passkey hidden><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-finger\" /></svg>Passkey / empreinte digitale</button>\n<% } %>\n<% it.providers.forEach(function (provider) { %>\n                <a class=\"nf-btn\" href=\"<%= provider.href %>\"><% if (provider.image) { %><img class=\"nf-icon\" src=\"<%= provider.image %>\" alt=\"\" /><% } else { %><svg class=\"<%= provider.icon === 'm-github' ? 'nf-mark' : 'nf-icon' %>\" aria-hidden=\"true\"><use href=\"#<%= provider.icon %>\" /></svg><% } %><% if (provider.caption) { %><span class=\"nf-label\"><%= provider.label %><small><%= provider.caption %></small></span><% } else { %><%= provider.label %><% } %></a>\n<% }) %>\n              </div>\n            </div>\n<% } %>\n            <div class=\"nf-message\" aria-live=\"polite\" data-message><% if (it.empty) { %><p class=\"nf-alert\" role=\"alert\"><span class=\"code\">\u2014</span><span>Aucun moyen de connexion n'est disponible pour le moment. Pr\u00E9venez l'administrateur du site.</span></p><% } else if (it.notice) { %><p class=\"nf-alert\" role=\"alert\"><span class=\"code\">SSO</span><span><%= it.notice %></span></p><% } %></div>\n<% if (it.password || it.passkey) { %>\n            <noscript><p class=\"nf-hint\">Cette page a besoin de JavaScript pour vous connecter.</p></noscript>\n<% } %>\n          </div>\n        </section>\n<% if (it.picker) { %>\n        <form class=\"nf-picker\" method=\"get\" data-preview-picker<% if (it.picker.hook) { %> data-preview-hook=\"<%= it.picker.hook %>\"<% } %> aria-label=\"Aper\u00E7u de la page (d\u00E9veloppement)\">\n          <input type=\"hidden\" name=\"from\" value=\"<%= it.from %>\" />\n          <label>Habillage <select name=\"skin\"><% it.picker.skins.forEach(function (skin) { %><option value=\"<%= skin %>\"<% if (skin === it.skin) { %> selected<% } %>><%= skin %></option><% }) %></select></label>\n          <label>Mise en page <select name=\"layout\"><% it.picker.layouts.forEach(function (layout) { %><option value=\"<%= layout %>\"<% if (layout === it.layout) { %> selected<% } %>><%= layout %></option><% }) %></select></label>\n          <noscript><button type=\"submit\">Appliquer</button></noscript>\n        </form>\n<% } %>\n<% if (it.footer) { %>\n        <div class=\"nf-foot\">\n          <ul class=\"nf-facts\" aria-label=\"Protection de la session\">\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>cookie HttpOnly</li>\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>anti-CSRF</li>\n            <li><svg class=\"nf-icon\" aria-hidden=\"true\"><use href=\"#i-shield\" /></svg>CSP stricte</li>\n          </ul>\n          <a class=\"nf-powered\" href=\"https://github.com/nodefony/nodefony-core\" rel=\"noopener noreferrer\"><img class=\"nf-logo nf-logo-mono\" src=\"<%= it.logoHref %>\" alt=\"\" />Propuls\u00E9 par Nodefony</a>\n        </div>\n<% } %>\n      </main>\n    </div>\n  </body>\n</html>\n";

package/docs/controller.md

@@ -404,20 +404,24 @@ class MeController extends Controller {
 ## 🧰 Répondre — ce que ton `return` déclenche
 
 Le traducteur unique est `Resolver.returnController()` (`Resolver.ts#Resolver.returnController`). Il regarde le **type**
-de ce que tu as retourné :
+de ce que tu as retourné — dans l'ordre de fréquence : la promesse, puis le tableau et l'objet simple,
+le cas courant, qui ne paient aucun test de plus que nécessaire (`Resolver.ts#Resolver.returnObject`) :
 
 <!-- prettier-ignore -->
 | Tu retournes… | Ce qui se passe | Ancre |
 | --- | --- | --- |
-| Une `Promise` / un thenable | Déballée puis re-traitée (récursif) | `Resolver.ts#Resolver._areaSecurity` |
-| Une `string` | Envoyée telle quelle en corps | `Resolver.ts#Resolver._callWithIdempotency` |
-| Un objet simple ou un tableau | **Auto-JSON** : `application/json` + sérialisation | `Resolver.ts#Resolver.returnController` |
-| Un `number` / un `boolean` | Auto-JSON scalaire (RFC 8259 §2 : `42`, `true` sont des documents valides) | `Resolver.ts#Resolver._callWithIdempotency` |
-| Un `Buffer` | Envoyé brut | `Resolver.ts#Resolver.returnController` |
-| Une `Response` (via un `render*`) | Retournée telle quelle — l'envoi a déjà eu lieu | `Resolver.ts#Resolver._invokeAction` |
+| Une `Promise` / un thenable | Déballée puis re-traitée (récursif) | `Resolver.ts#Resolver.returnController` |
+| Une `string` | Envoyée telle quelle en corps | `Resolver.ts#Resolver.returnController` |
+| Un objet simple ou un tableau | **Auto-JSON** : `application/json` + sérialisation | `Resolver.ts#Resolver.returnObject` |
+| Un `number` / un `boolean` | Auto-JSON scalaire (RFC 8259 §2 : `42`, `true` sont des documents valides) | `Resolver.ts#Resolver.returnController` |
+| Un `Buffer` | Envoyé brut | `Resolver.ts#Resolver.returnObject` |
+| Une réponse Nodefony (rendue par un `render*`) | Retournée telle quelle — l'envoi a déjà eu lieu | `Resolver.ts#Resolver.returnObject` |
+| Une **`Response` Web standard** — `fetch()`, `new Response(…)`, `Response.json(…)` | **Envoyée en flux** : son statut, ses en-têtes, son corps (HTTP seulement) — détail ci-dessous | `HttpContext.openWebResponse()` (`HttpContext.ts#HttpContext.openWebResponse`, `@nodefony/http`) |
+| Un **flux d'octets nu** — `Readable` Node, `ReadableStream` Web | **Envoyé en flux**, comme `this.renderStream(source)` sans option (HTTP seulement) | `Resolver.ts#Resolver.returnObject` |
 | `void`/`null` **et** statut 204/205/304 | Réponse **vide envoyée** (RFC 9110 : ces statuts n'ont pas de corps) | `isContentlessStatus` (`Response.ts#isContentlessStatus`, `@nodefony/http`) |
-| `void`/`null` avec tout autre statut | `waitAsync` : « l'action enverra plus tard » | `Resolver.ts#Resolver.returnController` |
-| Une instance de classe (entité ORM, DTO) | **Non sérialisée** → `waitAsync` (le teardown avertit du blocage) | `Resolver.ts#Resolver.returnController` |
+| `void`/`null` avec tout autre statut | `waitAsync` : « l'action enverra plus tard » | `Resolver.ts#Resolver.returnNothing` |
+| Une `Date`, une `RegExp`, une `Error` | Comme `void` : rien à rendre | `Resolver.ts#Resolver.returnNothing` |
+| Une instance de classe (entité ORM, DTO) | **Non sérialisée** → `waitAsync` (le teardown avertit du blocage) | `Resolver.ts#Resolver.returnObject` |
 
 > [!WARNING]
 > **Le piège n° 1 : `return null` sur un statut à corps.** Le framework l'interprète comme « je
@@ -429,6 +433,82 @@ de ce que tu as retourné :
 Même règle pour une **instance de classe** (une entité ORM renvoyée telle quelle) : elle n'est
 volontairement pas passée à `JSON.stringify`. Retourne un objet simple — ou appelle `renderJson()`.
 
+### Renvoyer une `Response` Web ou un flux
+
+La `Response` est l'objet standard que rend `fetch()` — dans le navigateur, et dans Node depuis la
+version 18. Beaucoup de bibliothèques en produisent une toute prête (un kit d'IA qui rend son texte
+en flux, un client d'API). Ton action peut la **renvoyer telle quelle** : le framework envoie son
+statut, ses en-têtes et son corps EN FLUX, sans le lire d'avance.
+
+```ts
+import { Readable } from "node:stream";
+import { Controller, controller, route } from "@nodefony/framework";
+import type { Context } from "@nodefony/http";
+
+@controller("/examples")
+export class ExamplesController extends Controller {
+  constructor(context: Context) {
+    super("ExamplesController", context);
+  }
+
+  /** Relayer une API tierce : sa réponse, telle quelle. */
+  @route("weather", { path: "/weather" })
+  weather() {
+    // Le signal coupe l'appel amont si le client s'en va.
+    return fetch("https://api.exemple.org/meteo", {
+      signal: this.context?.signal ?? null,
+    });
+  }
+
+  /** Une réponse construite : statut, en-têtes et cookie à toi. */
+  @route("export", { path: "/export.csv" })
+  export() {
+    return new Response("id;libellé\n1;Cordage\n", {
+      status: 200,
+      headers: [
+        ["content-type", "text/csv; charset=utf-8"],
+        ["content-disposition", 'attachment; filename="export.csv"'],
+        ["set-cookie", "export=fait; Path=/; HttpOnly"],
+      ],
+    });
+  }
+
+  /** Un flux d'octets renvoyé nu. */
+  @route("lines", { path: "/lines" })
+  lines() {
+    return Readable.from(["une\n", "deux\n"], { objectMode: false });
+  }
+}
+```
+
+Ce que le framework fait de la réponse (`webResponse.ts#webResponseParts`, `@nodefony/http`) :
+
+| Origine de la `Response`                                                           | En-têtes envoyés                                                                                                                                                                                                                   |
+| ---------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| **Construite** par ton code (`new Response`, `Response.json`, `Response.redirect`) | tous les siens, **cookies compris**                                                                                                                                                                                                |
+| **Relayée** — rendue par `fetch()`                                                 | les siens, **sauf** `content-encoding` et `content-length` (`fetch` a déjà décompressé le corps : ils décriraient des octets qui ne sont plus là) et `set-cookie` (les cookies d'un service tiers seraient posés sous TON domaine) |
+
+Dans les deux cas, les en-têtes de connexion (`connection`, `keep-alive`, `transfer-encoding`,
+`upgrade`… — RFC 9110 §7.6.1) ne partent jamais : ils décrivent un saut, et HTTP/2 les refuse.
+La différence se lit sur `response.type` : `"default"` pour une réponse construite, `"basic"` ou
+`"cors"` pour une réponse de `fetch`.
+
+> [!TIP]
+> **Quand préférer `this.renderStream()`** : dès qu'il faut des options — délai de silence
+> (`idleTimeout`), durée maximale (`maxDuration`), écouteur de fin (`onClose`), ou ne recopier que
+> certains en-têtes de l'amont. `return response` est le geste court du cas courant ;
+> `renderStream` est le réglage fin. Les deux passent par la même tuyauterie
+> (`HttpContext.ts#HttpContext.openStream`) : contre-pression, arrêt au départ du client, `HEAD` sans
+> lire le corps.
+
+> [!WARNING]
+>
+> - **`Response.error()`** ne porte aucune réponse (statut 0) : le client reçoit un **502**.
+> - **WebSocket** : une `Response` ou un flux renvoyé par une action de message n'est pas envoyé — une
+>   trame n'a ni statut ni en-têtes. Renvoie un objet (envoyé en trame JSON) ou un `Buffer`.
+> - **Réponse déjà partie** (tu as appelé `render*` ou `streamFile` ET renvoyé une `Response`) : rien
+>   n'est réécrit, et le corps de la `Response` est annulé pour libérer l'amont.
+
 ### Les helpers de rendu
 
 Quand tu veux piloter l'envoi plutôt que retourner une valeur :