@nodefony/http 10.0.0-alpha.3 → 10.0.0-alpha.4

package/dist/_virtual/{_@oxc-project_runtime@0.148.0 → _@oxc-project_runtime@0.149.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.148.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.149.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.148.0 → _@oxc-project_runtime@0.149.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.148.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.149.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/_virtual/{_@oxc-project_runtime@0.148.0 → _@oxc-project_runtime@0.149.0}/helpers/esm/decorateParam.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.148.0/helpers/esm/decorateParam.js
+//#region \0@oxc-project+runtime@0.149.0/helpers/esm/decorateParam.js
 function __decorateParam(paramIndex, decorator) {
 	return function(target, key) {
 		decorator(target, key, paramIndex);

package/dist/index.js

@@ -21,8 +21,8 @@ import DefaultErrorRenderer, { schemaMismatchOf } from "./nodefony/service/error
 import DefaultRequestLogger from "./nodefony/service/request-logger.js";
 import JsonAuditLogger from "./nodefony/service/audit-logger.js";
 import PrettyRequestLogger from "./nodefony/service/pretty-request-logger.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "./nodefony/service/http-kernel.js";
 import server_http_default from "./nodefony/service/servers/server-http.js";
 import server_https_default from "./nodefony/service/servers/server-https.js";

package/dist/nodefony/config/config.js

@@ -58,7 +58,7 @@ import { z } from "zod";
 * Ce schéma reste PUR (pas de `Nodefony.getKernel()` ni `process.env`) → sa
 * sortie est déterministe et sérialisable en JSON Schema (`httpConfigJsonSchema`
 * dans `defineModuleConfig.ts`). Les défauts dérivés du kernel
-* (`upload.uploadDir` ← `kernel.tmpDir`, `certificates.openssl.attrs` ←
+* (`upload.uploadDir` ← `kernel.tmpDir`, `certificates.selfSigned.attrs` ←
 * `kernel.domain`/`projectName`) sont injectés APRÈS le parse, dans le builder
 * (kernel disponible à `onKernelRegister`).
 *
@@ -155,12 +155,12 @@ const http2Schema = z.looseObject({
 	maxSessionMemory: z.number().int().positive().default(10).describe("Mémoire max (Mo) par session HTTP/2 — borne l'amplification mémoire.")
 }).describe("Serveur HTTP/2 (sur le port HTTPS, allowHTTP1). Loose : options `http2.SecureServerOptions` transmises.");
 const http3Schema = z.looseObject({});
-const opensslAttrSchema = z.looseObject({
+const selfSignedAttrSchema = z.looseObject({
 	name: z.string().optional(),
 	value: z.string().optional(),
 	shortName: z.string().optional()
 }).describe("Champ de sujet/issuer node-forge (CertificateField).");
-const opensslSchema = z.strictObject({
+const selfSignedSchema = z.strictObject({
 	size: z.number().int().positive().default(2048).describe("Taille de la clé RSA (bits). 2048 minimum, 4096 recommandé en prod."),
 	hash: z.enum([
 		"sha256",
@@ -169,11 +169,11 @@ const opensslSchema = z.strictObject({
 	]).default("sha256").describe("Algorithme de hachage de la signature. SHA-1 INTERDIT (collision SHAttered 2017 ; CA/Browser Forum depuis 2016)."),
 	validityDays: z.number().int().positive().default(365).describe("Durée de validité du certificat (jours). ≤ 398 recommandé (CA/B Forum)."),
 	backdateMinutes: z.number().int().min(0).default(5).describe("Recul de notBefore (minutes) — tolère le décalage d'horloge du client (évite « certificate not yet valid »)."),
-	attrs: z.array(opensslAttrSchema).default([]).meta({
+	attrs: z.array(selfSignedAttrSchema).default([]).meta({
 		kernelDerived: true,
 		description: "Attributs du certificat (commonName, organizationName…). Vide (défaut) = dérivés du kernel par le builder (commonName ← domain)."
 	})
-}).describe("Options de génération du certificat auto-signé (node-forge).");
+}).describe("Génération du certificat AUTO-SIGNÉ (node-forge, JavaScript pur — aucun binaire externe n'est invoqué). Ces réglages ne valent QUE pour la stratégie `selfsigned` : sous `mkcert` (défaut en développement) ils sont ignorés — mkcert ne reçoit que les noms d'hôtes — et sous `strategy: \"explicit\"` le certificat est fourni, donc rien n'est généré.");
 const sanSchema = z.strictObject({
 	dns: z.array(z.string()).default([]).meta({
 		kernelDerived: true,
@@ -195,7 +195,7 @@ const certificatesSchema = z.strictObject({
 	privateKeyMode: z.number().int().default(384).meta({ description: "Permissions POSIX de la clé privée écrite sur disque (0600 = lecture/écriture owner uniquement). Une clé TLS ne doit JAMAIS être world-readable." }),
 	san: sanSchema.default(() => sanSchema.parse({})),
 	dev: certDevSchema.default(() => certDevSchema.parse({})),
-	openssl: opensslSchema.default(() => opensslSchema.parse({}))
+	selfSigned: selfSignedSchema.default(() => selfSignedSchema.parse({}))
 }).describe("Certificats TLS du serveur HTTPS et WSS.");
 const websocketSchema = z.looseObject({
 	keepaliveInterval: z.number().int().positive().default(2e4).describe("Intervalle (ms) des pings keep-alive — détecte les connexions zombies."),

package/dist/nodefony/config/defineModuleConfig.js

@@ -6,7 +6,7 @@ import { z } from "zod";
 * Injecte les défauts dérivés du kernel APRÈS le parse (le schéma reste pur).
 *
 * - `upload.uploadDir` vide → répertoire temporaire du kernel (`kernel.tmpDir`).
-* - `certificates.openssl.attrs` vide → sujet du certificat dérivé du kernel
+* - `certificates.selfSigned.attrs` vide → sujet du certificat dérivé du kernel
 *   (`commonName` ← `kernel.domain`, `organizationName` ← `kernel.projectName`).
 *   Sans ce remplissage, le certificat auto-signé n'aurait pas de commonName.
 * - `certificates.san` vide → Subject Alternative Name dérivé du kernel
@@ -28,7 +28,7 @@ function applyKernelDefaults(config, kernel) {
 		const p = kernel?.tmpDir?.path;
 		config.upload.uploadDir = typeof p === "string" ? p : "/tmp";
 	}
-	if (config.certificates.openssl.attrs.length === 0) config.certificates.openssl.attrs = [
+	if (config.certificates.selfSigned.attrs.length === 0) config.certificates.selfSigned.attrs = [
 		{
 			name: "commonName",
 			value: kernel?.domain ?? "nodefony.com"

package/dist/nodefony/service/certificates.js

@@ -22,7 +22,7 @@ const defaultOptions = {
 		dns: [],
 		ip: []
 	},
-	openssl: {
+	selfSigned: {
 		size: 2048,
 		hash: "sha256",
 		validityDays: 365,
@@ -418,7 +418,7 @@ var Certificate = class Certificate extends Service {
 		}
 	}
 	generateKeys() {
-		return this.forgeLib.pki.rsa.generateKeyPair(this.certOptions.openssl.size);
+		return this.forgeLib.pki.rsa.generateKeyPair(this.certOptions.selfSigned.size);
 	}
 	generatePrivateKeyPem() {
 		if (this.keysPair) return Buffer.from(this.forgeLib.pki.privateKeyToPem(this.keysPair.privateKey));
@@ -434,7 +434,7 @@ var Certificate = class Certificate extends Service {
 	}
 	createCertificate() {
 		if (!this.keysPair) throw new Error(`KeyPair  not found`);
-		const o = this.certOptions.openssl;
+		const o = this.certOptions.selfSigned;
 		const cert = this.forgeLib.pki.createCertificate();
 		cert.publicKey = this.keysPair.publicKey;
 		cert.serialNumber = Certificate.generateSerialHex();
@@ -491,7 +491,7 @@ var Certificate = class Certificate extends Service {
 	*/
 	sign() {
 		if (!this.certForge || !this.keysPair) throw new Error(`pki.rsa.KeyPair or pki.Certificate  not found`);
-		this.certForge.sign(this.keysPair.privateKey, this.digestFor(this.certOptions.openssl.hash));
+		this.certForge.sign(this.keysPair.privateKey, this.digestFor(this.certOptions.selfSigned.hash));
 	}
 	/**
 	* Résumé introspectable du certificat serveur courant — réutilisé par la

package/dist/nodefony/service/http-kernel.js

@@ -12,8 +12,8 @@ import DefaultRequestLogger from "./request-logger.js";
 import JsonAuditLogger from "./audit-logger.js";
 import PrettyRequestLogger from "./pretty-request-logger.js";
 import { resolveTraceparent } from "./trace.js";
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import { GcScheduler, Module, RequestContext, Service, injectable, logColor, nodefonyError, writeRuntimeState } from "nodefony";
 import cluster from "node:cluster";
 import Ws from "ws";

package/dist/nodefony/service/servers/server-http.js

@@ -1,10 +1,10 @@
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
 import { handleClientError } from "./clientError.js";
 import { createDrainTerminator } from "./serverShutdown.js";
 import { bindWithFallback, buildBindPlan } from "../../src/servers/portBinder.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import { Module, Service, extend, inject, nodefonyError } from "nodefony";
 import http from "node:http";
 //#region nodefony/service/servers/server-http.ts

package/dist/nodefony/service/servers/server-https.js

@@ -1,10 +1,10 @@
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
 import { handleClientError } from "./clientError.js";
 import { createDrainTerminator } from "./serverShutdown.js";
 import { bindWithFallback, buildBindPlan } from "../../src/servers/portBinder.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import { Module, Service, extend, inject, nodefonyError } from "nodefony";
 import http2 from "node:http2";
 import https from "node:https";

package/dist/nodefony/service/servers/server-websocket-secure.js

@@ -1,7 +1,7 @@
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import { startHeartbeat, trackPong } from "./wsHeartbeat.js";
 import { Module, Service, inject } from "nodefony";
 import Ws, { WebSocketServer } from "ws";

package/dist/nodefony/service/servers/server-websocket.js

@@ -1,7 +1,7 @@
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import { startHeartbeat, trackPong } from "./wsHeartbeat.js";
 import { Module, Service, inject } from "nodefony";
 import Ws, { WebSocketServer } from "ws";

package/dist/nodefony/service/sessions/sessions-service.js

@@ -1,12 +1,12 @@
 import { SESSION_FACETS } from "../../src/session/storage/sessionFilters.js";
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import Session from "../../src/session/session.js";
 import MemorySessionStorage from "../../src/session/storage/MemorySessionStorage.js";
 import RevocationGuardStorage from "../../src/session/storage/RevocationGuardStorage.js";
-import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Module, Nodefony, RequestContext, Service, countFacets, extend, inject, injectable, readStoreLocation, resolveAutoStore } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Module, Nodefony, RequestContext, Service, countFacets, extend, inject, injectable, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { createHash, createHmac } from "node:crypto";
 //#region nodefony/service/sessions/sessions-service.ts
 var _SessionsService;
@@ -142,7 +142,7 @@ let SessionsService = class SessionsService extends Service {
 		const configured = storeName;
 		let reason = `store explicitement configuré ("${configured}")`;
 		if (storeName === AUTO_STORE) {
-			const auto = resolveAutoStore("session", this.kernel?.infra ?? EMPTY_INFRA, _SessionsService.storageHandlers(), "memory");
+			const auto = resolveAutoStore("session", this.kernel?.infra ?? EMPTY_INFRA, _SessionsService.storageHandlers(), "memory", runNeedsExternalServices(this.kernel));
 			storeName = auto.store;
 			reason = auto.reason;
 			this.log(`session.store "auto" → "${storeName}" (${auto.reason})`, "INFO");

package/dist/nodefony/service/upload/upload-service.js

@@ -1,7 +1,7 @@
-import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorate.js";
 import http_kernel_default from "../http-kernel.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.148.0/helpers/esm/decorateParam.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.149.0/helpers/esm/decorateParam.js";
 import { Cli, FileClass, Module, Service, inject } from "nodefony";
 import fs from "node:fs";
 import fsp from "node:fs/promises";

package/dist/types/index.d.ts

@@ -54,11 +54,11 @@ declare class Http extends Module<IHttpConfig> {
 }
 export default Http;
 export { defineHttpConfig, httpConfigJsonSchema, } from "./nodefony/config/defineModuleConfig.js";
-export { httpConfigSchema, type HttpConfig, type HttpConfigInput, } from "./nodefony/config/config.js";
+export { httpConfigSchema } from "./nodefony/config/config.js";
 export type { IHttpConfig, IHttpConfigInput, } from "./nodefony/interfaces/IHttpConfig.js";
 export { decideSend, readBackpressureOptions, type WsBackpressurePolicy, type WsSendDecision, type IWsBackpressureOptions, type IBackpressureSocket, type IBackpressureTarget, } from "./nodefony/src/context/websocket/wsBackpressure.js";
 export { compileDomainPattern, compileDomainPatterns, compileTrustedHosts, isDomainAllowed, } from "./nodefony/src/context/domainMatcher.js";
-export type { DomainPattern, TrustedHostsConfig, } from "./nodefony/src/context/domainMatcher.js";
+export type { DomainPattern, ITrustedHostsConfig, } from "./nodefony/src/context/domainMatcher.js";
 export { MemoryRateLimitStore } from "./nodefony/src/rateLimit/MemoryRateLimitStore.js";
 export type { IRateLimitStore, IRateLimitOptions, RateLimitVerdict, } from "./nodefony/src/rateLimit/IRateLimitStore.js";
 export { Context, Session, SessionsService, HttpError, HttpKernel, Response, Http2Response, Response as HttpResponse, wsResponse, wsResponse as WebsocketResponse, Cookie, HttpContext, WebsocketContext, HttpRequest, Http2Request, DefaultErrorRenderer, DefaultRequestLogger, JsonAuditLogger, PrettyRequestLogger, Profiler, };

package/dist/types/nodefony/config/config.d.ts

@@ -74,7 +74,7 @@ export declare const httpConfigSchema: z.ZodObject<{
         dev: z.ZodDefault<z.ZodObject<{
             useMkcert: z.ZodDefault<z.ZodBoolean>;
         }, z.core.$strict>>;
-        openssl: z.ZodDefault<z.ZodObject<{
+        selfSigned: z.ZodDefault<z.ZodObject<{
             size: z.ZodDefault<z.ZodNumber>;
             hash: z.ZodDefault<z.ZodEnum<{
                 sha256: "sha256";
@@ -186,12 +186,12 @@ export declare const httpConfigSchema: z.ZodObject<{
     wsMaxConnectionsPerIp: z.ZodDefault<z.ZodNullable<z.ZodNumber>>;
 }, z.core.$strict>;
 /** Type de sortie (config normalisée + défauts appliqués). */
-export type HttpConfig = z.infer<typeof httpConfigSchema>;
+export type IHttpConfig = z.infer<typeof httpConfigSchema>;
 /** Type d'entrée (toutes sections omissibles — défauts du schéma). */
-export type HttpConfigInput = z.input<typeof httpConfigSchema>;
+export type IHttpConfigInput = z.input<typeof httpConfigSchema>;
 /**
  * Défauts du module, matérialisés depuis le schéma (source unique). Toujours
  * valides par construction ; passés au `super(..., config)` du Module class.
  */
-declare const config: HttpConfig;
+declare const config: IHttpConfig;
 export default config;

package/dist/types/nodefony/interfaces/IHttpConfig.d.ts

@@ -1,12 +1,16 @@
-import type { HttpConfig, HttpConfigInput } from "../config/config.js";
 /**
- * Configuration validée de `@nodefony/http` (sortie du parse Zod + défauts
- * kernel appliqués par le builder). Source de vérité = `../config/config.ts`.
+ * Barrel d'interfaces de la configuration de `@nodefony/http`.
+ *
+ * Ces types sont DÉRIVÉS du schéma Zod — leur source de vérité unique est
+ * `../config/config.ts`, et ce fichier ne fait que les republier sous le chemin
+ * d'interfaces attendu par la convention du dépôt (`nodefony/interfaces/I*.ts`).
+ *
+ * ⚠️ Un ré-export, jamais un alias (`export type IHttpConfig = HttpConfig`) :
+ * un alias publierait DEUX noms pour le même type, tous deux dans les `.d.ts`
+ * et l'autocomplétion du consommateur, sans que rien ne dise lequel est le bon.
  */
-export type IHttpConfig = HttpConfig;
-/**
- * Configuration brute fournie par l'application (toutes sections optionnelles —
- * les sections omises reçoivent leurs défauts). Entrée du builder
- * {@link import("../config/defineModuleConfig").defineHttpConfig}.
- */
-export type IHttpConfigInput = HttpConfigInput;
+export type { 
+/** Type de sortie (config normalisée + défauts appliqués). */
+IHttpConfig, 
+/** Type d'entrée (toutes sections omissibles — défauts du schéma). */
+IHttpConfigInput, } from "../config/config.js";

package/dist/types/nodefony/service/certificates.d.ts

@@ -10,7 +10,16 @@ type ForgeModule = typeof import("node-forge");
 export type CertHash = "sha256" | "sha384" | "sha512";
 /** Stratégie de fourniture du certificat exposée en configuration. */
 export type CertStrategyConfig = "auto" | "mkcert" | "selfsigned" | "explicit";
-export interface OpensslOptions {
+/**
+ * Options de génération du certificat AUTO-SIGNÉ (node-forge, JavaScript pur —
+ * aucun binaire externe n'est invoqué).
+ *
+ * ⚠️ Portée : ces réglages ne valent QUE pour la stratégie `selfsigned`. Sous
+ * `mkcert` (le défaut en développement) ils sont ignorés — mkcert ne reçoit que
+ * les noms d'hôtes — et sous `strategy: "explicit"` le certificat est fourni,
+ * donc rien n'est généré.
+ */
+export interface SelfSignedOptions {
     /** Taille de la clé RSA (bits). */
     size: number;
     /** Algorithme de hachage de la signature (jamais SHA-1). */
@@ -48,7 +57,7 @@ export interface CertificateOptions {
      * (Let's Encrypt, ingress, reverse-proxy) : Nodefony n'est pas une CA.
      */
     strategy?: CertStrategyConfig;
-    openssl: OpensslOptions;
+    selfSigned: SelfSignedOptions;
     dev: CertificateDevOptions;
     san?: CertificateSanOptions;
     /** Permissions POSIX de la clé privée écrite (0600 = owner-only). */

package/dist/types/nodefony/service/http-kernel.d.ts

@@ -4,7 +4,7 @@ import type { Controller } from "@nodefony/framework";
 import HttpError from "../src/errors/httpError.js";
 import { type TrustProxyChecker } from "../src/context/trustProxy.js";
 import type { IRateLimitStore } from "../src/rateLimit/IRateLimitStore.js";
-import { type TrustedHostsConfig } from "../src/context/domainMatcher.js";
+import { type ITrustedHostsConfig } from "../src/context/domainMatcher.js";
 import http from "node:http";
 import http2 from "node:http2";
 import type { IncomingMessage } from "node:http";
@@ -79,7 +79,7 @@ declare class HttpKernel extends Service implements IHttpKernelInterface {
     ca: string;
     serverStatic: Statics | null;
     domain: string;
-    trustedHosts?: TrustedHostsConfig;
+    trustedHosts?: ITrustedHostsConfig;
     domainCheck: boolean;
     regAlias: RegExp[];
     module: Module;

package/dist/types/nodefony/src/context/domainMatcher.d.ts

@@ -28,7 +28,7 @@ export type DomainPattern = string | RegExp;
  *   filtre déjà le `Host`, cf doctrine cloud-native).
  * - `string` / `string[]` : patterns additionnels (exact ou `*`-wildcard).
  */
-export type TrustedHostsConfig = boolean | DomainPattern | DomainPattern[];
+export type ITrustedHostsConfig = boolean | DomainPattern | DomainPattern[];
 /**
  * Compile UN pattern de domaine en `RegExp` selon la politique sûre.
  *
@@ -56,7 +56,7 @@ export declare function compileDomainPatterns(patterns: DomainPattern | DomainPa
  * @param isDev - vrai en environnement `development` (ajoute le loopback).
  * @returns liste de `RegExp` pour {@link isDomainAllowed}.
  */
-export declare function compileTrustedHosts(domain: string, trusted: TrustedHostsConfig | undefined, isDev: boolean): RegExp[];
+export declare function compileTrustedHosts(domain: string, trusted: ITrustedHostsConfig | undefined, isDev: boolean): RegExp[];
 /**
  * Teste un `Host` entrant contre une liste de `RegExp` pré-compilée.
  *

package/docs/servers.md

@@ -133,7 +133,7 @@ session et du même firewall, et se ferme avec le même soin qu'une réponse HTT
 
 > [!NOTE]
 > Le serveur HTTP/3 (QUIC) est **réservé, pas implémenté** : la clé `http3` existe dans le schéma,
-> marquée `reserved` (`config.ts:1029`). Elle ne fait rien aujourd'hui.
+> marquée `reserved` (`config.ts:1035`). Elle ne fait rien aujourd'hui.
 
 ## 🚀 Démarrage rapide
 
@@ -400,7 +400,7 @@ C'est la distinction la plus utile de cette page, et celle qu'on rate le plus so
 | Question                                  | Où ça se règle                 | Source                                                    |
 | ----------------------------------------- | ------------------------------ | --------------------------------------------------------- |
 | **Quels** serveurs, sur **quels ports** ? | `servers` (config d'app)       | `serversSchema` (`src/nodefony/src/config/schema.ts:132`) |
-| **Comment** ces serveurs se comportent ?  | `use("@nodefony/http", { … })` | `httpConfigSchema` (`config.ts:947`)                      |
+| **Comment** ces serveurs se comportent ?  | `use("@nodefony/http", { … })` | `httpConfigSchema` (`config.ts:953`)                      |
 
 Autrement dit : la **topologie** est une propriété du déploiement (elle change entre le poste du dev,
 la CI et le cluster) ; le **réglage** est une propriété de l'application.
@@ -451,16 +451,16 @@ Depuis `http2Schema` (`config.ts:332`), appliqué seulement si défini
 
 ### Niveau 2 — WebSocket (`websocket` et `websocketSecure`)
 
-Depuis `websocketSchema` (`config.ts:490`). Les deux sections partagent la forme et les défauts ; le WSS
-lit `websocketSecure` (`config.ts:1037`).
+Depuis `websocketSchema` (`config.ts:496`). Les deux sections partagent la forme et les défauts ; le WSS
+lit `websocketSecure` (`config.ts:1043`).
 
 | Option                   | Type                | Défaut  | Effet                                                                              |
 | ------------------------ | ------------------- | ------- | ---------------------------------------------------------------------------------- |
 | `keepaliveInterval`      | ms                  | `20000` | Intervalle des pings — détecte les connexions zombies.                             |
 | `keepaliveGracePeriod`   | ms                  | `10000` | Délai de grâce après un ping sans réponse avant fermeture.                         |
 | `closeTimeout`           | ms                  | `5000`  | Délai de fermeture propre avant destruction de la socket.                          |
-| `maxPayload`             | octets              | `1 MiB` | Taille max d'un message entrant → au-delà, **close 1009** (`config.ts:516`).       |
-| `allowedOrigins`         | bool \| str \| list | `false` | Allowlist d'`Origin` au handshake — **anti-CSWSH** (`config.ts:525`).              |
+| `maxPayload`             | octets              | `1 MiB` | Taille max d'un message entrant → au-delà, **close 1009** (`config.ts:522`).       |
+| `allowedOrigins`         | bool \| str \| list | `false` | Allowlist d'`Origin` au handshake — **anti-CSWSH** (`config.ts:531`).              |
 | `perMessageDeflate`      | bool \| objet       | `false` | Compression RFC 7692. Désactivée par défaut : coût CPU/RAM + risque de _zip bomb_. |
 | `skipUTF8Validation`     | bool                | `false` | Désactive la validation UTF-8 des frames texte (RFC 6455 §8.1). À laisser `false`. |
 | `autoPong`               | bool                | `true`  | Répond automatiquement aux pings entrants (RFC 6455 §5.5.2-3). À laisser `true`.   |
@@ -537,12 +537,12 @@ serveur qui, lui, écoute très bien.
 **Générer un certificat est un confort de développement, pas une fonction de production.** Nodefony
 n'est pas une autorité de certification : en production, on fournit un vrai certificat (Let's Encrypt,
 ingress k8s, reverse-proxy). Le service crie un avertissement si ce n'est pas le cas
-(`Certificate.resolveStrategy()`, `certificates.ts:409`).
+(`Certificate.resolveStrategy()`, `certificates.ts:418`).
 
 ### Les quatre stratégies
 
-Réglées par `certificates.strategy` (`certificatesSchema`, `config.ts:448`), résolues par
-`Certificate.resolveStrategy()` (`certificates.ts:370`).
+Réglées par `certificates.strategy` (`certificatesSchema`, `config.ts:475`), résolues par
+`Certificate.resolveStrategy()` (`certificates.ts:379`).
 
 | Stratégie       | Quand l'utiliser                            | Ce qui se passe                                                             |
 | --------------- | ------------------------------------------- | --------------------------------------------------------------------------- |
@@ -572,13 +572,13 @@ export default defineConfig(() => ({
 > [!TIP]
 > Pour un HTTPS de développement **sans avertissement navigateur** (indispensable au HMR cross-origin
 > et au WSS) : `brew install mkcert nss && mkcert -install`. Nodefony le détecte tout seul, sinon il
-> l'annonce et retombe sur l'auto-signé (`certificates.ts:392`).
+> l'annonce et retombe sur l'auto-signé (`certificates.ts:401`).
 
 ### Ce que le chemin `explicit` évite
 
 `node-forge` est une grosse dépendance. Elle est chargée **paresseusement**, uniquement sur le chemin
-de génération (`Certificate.loadForge()`, `certificates.ts:218`) : en production avec un certificat
-fourni, elle n'entre jamais dans le processus (`certificates.ts:325`).
+de génération (`Certificate.loadForge()`, `certificates.ts:227`) : en production avec un certificat
+fourni, elle n'entre jamais dans le processus (`certificates.ts:334`).
 
 ### Conformité de l'auto-signé
 
@@ -587,16 +587,16 @@ invalid »). Celui de Nodefony respecte les règles qui comptent :
 
 | Exigence                                | Norme                | Mise en œuvre                                             |
 | --------------------------------------- | -------------------- | --------------------------------------------------------- |
-| Signature SHA-256, **jamais** SHA-1     | RFC 5280, CA/B Forum | `openssl.hash` par défaut `sha256` (`config.ts:379`)      |
-| Numéro de série aléatoire 128 bits      | RFC 5280 §4.1.2.2    | `Certificate.generateSerialHex()` (`certificates.ts:255`) |
-| Le SAN fait foi, pas le CN              | RFC 6125             | SAN dérivé du kernel si non fourni (`config.ts:415`)      |
-| `notBefore` reculé (décalage d'horloge) | pratique             | `openssl.backdateMinutes`, défaut 5 (`config.ts:394`)     |
-| Clé privée non lisible par tous         | hygiène              | `privateKeyMode` `0600` (`config.ts:472`)                 |
+| Signature SHA-256, **jamais** SHA-1     | RFC 5280, CA/B Forum | `selfSigned.hash` par défaut `sha256` (`config.ts:400`)   |
+| Numéro de série aléatoire 128 bits      | RFC 5280 §4.1.2.2    | `Certificate.generateSerialHex()` (`certificates.ts:264`) |
+| Le SAN fait foi, pas le CN              | RFC 6125             | SAN dérivé du kernel si non fourni (`config.ts:444`)      |
+| `notBefore` reculé (décalage d'horloge) | pratique             | `selfSigned.backdateMinutes`, défaut 5 (`config.ts:415`)  |
+| Clé privée non lisible par tous         | hygiène              | `privateKeyMode` `0600` (`config.ts:499`)                 |
 
 ### Régénération automatique
 
 Un certificat présent sur disque n'est pas forcément **adéquat**. `Certificate.isCertAdequate()`
-(`certificates.ts:533`) le régénère s'il est expiré, s'il est signé en SHA-1, ou si son SAN ne couvre
+(`certificates.ts:542`) le régénère s'il est expiré, s'il est signé en SHA-1, ou si son SAN ne couvre
 plus les noms requis — le dernier cas est celui qui sauve : changer le domaine d'écoute sans ce
 contrôle laisserait un certificat obsolète en place indéfiniment.
 
@@ -608,7 +608,7 @@ Dès qu'un proxy est devant l'application, trois questions se posent — et troi
 
 Sans barrière, n'importe quel client peut envoyer `X-Forwarded-For: 1.2.3.4` et usurper son IP :
 contournement de rate-limit, journaux d'audit falsifiés. Le défaut est donc **`false` — ces en-têtes
-sont ignorés** (`config.ts:959`), et l'IP retenue est celle de la socket réelle, non falsifiable.
+sont ignorés** (`config.ts:965`), et l'IP retenue est celle de la socket réelle, non falsifiable.
 
 | Valeur                                       | Sens                                                               |
 | -------------------------------------------- | ------------------------------------------------------------------ |
@@ -628,7 +628,7 @@ Barrière testée **avant le routage**, contre l'injection d'en-tête `Host`. Le
 kernel est toujours accepté, plus le loopback en développement (`HttpKernel.compileAlias()`,
 `http-kernel.ts:936`). `false` (défaut) = ce socle seul ; une liste ajoute des vhosts (exact ou joker
 d'un seul niveau, `*.cdn.example.com`) ; `true` désactive la barrière — à réserver au cas où le proxy
-filtre déjà le `Host` (`config.ts:968`).
+filtre déjà le `Host` (`config.ts:974`).
 
 ### « Cette page a-t-elle le droit d'ouvrir un WebSocket ? » → `allowedOrigins`
 
@@ -664,7 +664,7 @@ rate-limit**. Un kubelet qui reçoit un `429` croit le pod mort → cascade de r
 
 | Option          | Type   | Défaut    | Effet                                                                  |
 | --------------- | ------ | --------- | ---------------------------------------------------------------------- |
-| `enabled`       | bool   | `true`    | Expose les probes (`healthSchema`, `config.ts:919`).                   |
+| `enabled`       | bool   | `true`    | Expose les probes (`healthSchema`, `config.ts:925`).                   |
 | `livenessPath`  | string | `/livez`  | Chemin de la sonde de vie (`livenessProbe.httpGet.path` k8s).          |
 | `readinessPath` | string | `/readyz` | Chemin de la sonde de disponibilité.                                   |
 | `shutdownDelay` | ms     | `0`       | Délai entre la bascule `503` et le début du drain (propagation du LB). |
@@ -790,7 +790,7 @@ est impossible → la connexion est fermée en **1013 « Try Again Later »**
 journalisation (un journal par handshake rejeté serait lui-même un amplificateur sous flood).
 
 Un second plafond, **désactivé par défaut**, borne le nombre de connexions **simultanées** par IP :
-`wsMaxConnectionsPerIp` (`config.ts:1046`). En cloud-native, laisser `null` et déléguer à l'edge —
+`wsMaxConnectionsPerIp` (`config.ts:1052`). En cloud-native, laisser `null` et déléguer à l'edge —
 nginx `limit_conn`, HAProxy `sc_conn_cur` — qui voit tout le trafic, rejette avant le coût du
 descripteur et du TLS, et couvre tous les pods. Ne l'activer que sur une machine sans ingress.
 
@@ -817,7 +817,7 @@ par seconde. Les choix visibles dans le code :
 - **Fichiers statiques en repli** — depuis la bascule « router d'abord », une requête qui matche une
   route ne paie plus l'appel disque de `serve-static` (**+28 % de requêtes par seconde** mesurés en
   production mono-processus).
-- **`node-forge` jamais chargé en production** avec un certificat fourni (`certificates.ts:218`).
+- **`node-forge` jamais chargé en production** avec un certificat fourni (`certificates.ts:227`).
 
 Ordre de grandeur mesuré : un processus Node saturé sur un cœur tient environ 400 requêtes/s en
 boucle locale avec dégradation gracieuse (1600 connexions concurrentes, aucun crash) ; côté WebSocket,
@@ -838,15 +838,15 @@ demande le backplane realtime.
 | HTTP/2                                | RFC 9113           | `ServerHttps.createServerH2()` (`server-https.ts:174`)                     |
 | HTTP/2 Rapid Reset                    | CVE-2023-44487     | `maxConcurrentStreams` (`config.ts:334`)                                   |
 | En-têtes trop volumineux → 431        | RFC 6585 §5        | `handleClientError()` (`clientError.ts:25`)                                |
-| WebSocket — protocole                 | RFC 6455           | `ws@8` + options (`config.ts:490`)                                         |
+| WebSocket — protocole                 | RFC 6455           | `ws@8` + options (`config.ts:496`)                                         |
 | WebSocket — Close 1001 « Going Away » | RFC 6455 §7.4.1    | `Websocket.terminate()` (`server-websocket.ts:134`)                        |
-| WebSocket — 1009 « Message Too Big »  | RFC 6455 §7.4.1    | `maxPayload` (`config.ts:516`)                                             |
-| WebSocket — validation UTF-8          | RFC 6455 §8.1      | `skipUTF8Validation` (`config.ts:596`)                                     |
-| WebSocket — compression               | RFC 7692           | `perMessageDeflate` (`config.ts:540`)                                      |
+| WebSocket — 1009 « Message Too Big »  | RFC 6455 §7.4.1    | `maxPayload` (`config.ts:522`)                                             |
+| WebSocket — validation UTF-8          | RFC 6455 §8.1      | `skipUTF8Validation` (`config.ts:602`)                                     |
+| WebSocket — compression               | RFC 7692           | `perMessageDeflate` (`config.ts:546`)                                      |
 | CSWSH (Origin au handshake)           | OWASP WSTG-CLNT-10 | `HttpKernel.checkWebsocketOrigin()` (`http-kernel.ts:599`)                 |
 | En-têtes forwarded                    | RFC 7239           | `resolveForwarded()` (`forwarded.ts:253`)                                  |
-| Certificat — série, SAN, extensions   | RFC 5280           | `Certificate.generateSerialHex()` (`certificates.ts:255`)                  |
-| Certificat — identité par le SAN      | RFC 6125           | `sanSchema` (`config.ts:415`)                                              |
+| Certificat — série, SAN, extensions   | RFC 5280           | `Certificate.generateSerialHex()` (`certificates.ts:264`)                  |
+| Certificat — identité par le SAN      | RFC 6125           | `sanSchema` (`config.ts:442`)                                              |
 
 ## ⚠️ Pièges (symptôme → cause → correction)
 
@@ -863,7 +863,7 @@ demande le backplane realtime.
 | Cascade de redémarrages sous charge                             | Sonde de santé soumise au rate-limit                                       | Déjà géré : les probes court-circuitent avant le rate-limit (`http-kernel.ts:848`) |
 | `curl --http2` renvoie du HTTP/1.1                              | `servers.https.protocol: "1.1"`, ou client sans ALPN                       | Passer `protocol: "2.0"` (défaut) et vérifier le client                            |
 | Avertissement navigateur en HTTPS de développement              | Certificat auto-signé (mkcert absent)                                      | `brew install mkcert nss && mkcert -install`, puis redémarrer                      |
-| Le certificat n'est pas régénéré après un changement de domaine | On croit qu'un fichier présent suffit                                      | Déjà géré : le SAN est vérifié (`certificates.ts:546`)                             |
+| Le certificat n'est pas régénéré après un changement de domaine | On croit qu'un fichier présent suffit                                      | Déjà géré : le SAN est vérifié (`certificates.ts:555`)                             |
 | `strategy: "explicit"` fait échouer le boot                     | `key`/`cert` absents de la configuration                                   | Fournir les deux chemins — l'échec est volontaire, jamais un repli silencieux      |
 | Une IP falsifiée passe dans les journaux d'audit                | `trustProxy` accordé trop largement                                        | Restreindre à l'IP/CIDR du proxy, ou revenir à `false`                             |
 | Handshake WebSocket refusé en `1008`                            | `Origin` non autorisée (anti-CSWSH)                                        | Ajouter l'origine dans `websocket.allowedOrigins`                                  |
@@ -886,7 +886,7 @@ l'origine du transport.
 
 `proxy:generate` mérite un mot : la configuration nginx/HAProxy est **dérivée** des domaines de
 confiance, des ports effectifs et des dossiers statiques montés — donc elle ne diverge pas du code. Le
-résumé de certificat vient de `Certificate.describe()` (`certificates.ts:803`), source unique partagée
+résumé de certificat vient de `Certificate.describe()` (`certificates.ts:812`), source unique partagée
 par la commande, le boot et un futur écran d'administration.
 
 **Runtime.** `nodefony status` et `nodefony stop` lisent les ports effectifs publiés au boot ; ils

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nodefony/http",
-  "version": "10.0.0-alpha.3",
+  "version": "10.0.0-alpha.4",
   "description": "Serveurs HTTP, HTTPS, HTTP/2 et WebSocket natifs pour Nodefony : sessions, contextes de requête, certificats TLS",
   "author": "Christophe CAMENSULI <ccamensuli@gmail.com>",
   "main": "./dist/index.js",
@@ -75,7 +75,7 @@
     "@types/xml2js": "0.4.14",
     "@vitest/coverage-v8": "5.0.0",
     "chai": "6.2.2",
-    "nodefony": "^10.0.0-alpha.3",
+    "nodefony": "^10.0.0-alpha.4",
     "rimraf": "6.1.3",
     "tsx": "4.23.13",
     "vitest": "5.0.0"
@@ -84,7 +84,7 @@
   "readmeFilename": "README.md",
   "contributors": [],
   "peerDependencies": {
-    "nodefony": "^10.0.0-alpha.3",
+    "nodefony": "^10.0.0-alpha.4",
     "zod": "^4.4.3"
   },
   "files": [