@nodefony/http 10.0.0-beta.1 → 10.0.0-beta.3

package/README.md

@@ -6,7 +6,7 @@ pipeline de contexte/controller.
 
 > Docs IA (dans le dépôt) : [`CLAUDE.md`](https://github.com/nodefony/nodefony-core/blob/main/src/packages/@nodefony/http/CLAUDE.md) · [`MEMORY.md`](https://github.com/nodefony/nodefony-core/blob/main/src/packages/@nodefony/http/MEMORY.md) · [`docs/`](./docs).
 > Règle dure : ce module ne peut PAS importer `@nodefony/framework` (cycle) — accès au resolver
-> via `(context as any)?.resolver`.
+> via `context.resolver`, typé par le contrat `IRouteResolver` que ce module définit.
 
 ## Serveurs
 
@@ -26,11 +26,13 @@ serveur → http-kernel.handle() → rate-limit IP → createContext()
    → Router.resolve()                (match avant le parse du body)
    → Firewall.applySecurityHeaders() → fallback statique si aucune route
    → parse du body
-   → handleFrontController() (Resolver.resolve → controller + initialize())
+   → prepareFrontController()        (route + zone armées, AUCUNE instanciation)
    → Firewall.enforceCsrf() → startSession() → Firewall.handleSecurity()
-   → action du controller → Response.send()
+   → @IsGranted → instanciation DI + initialize() → action du controller → Response.send()
 ```
 
+En WebSocket, le contrôleur est instancié au handshake (`handleFrontController()`), avant le pare-feu.
+
 Chaque contexte (HTTP + WS) porte un `requestId` (UUID v4, ou `X-Request-Id` client),
 réinjecté dans la réponse et corrélé dans les logs via AsyncLocalStorage.
 

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.153.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.153.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.153.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.153.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.153.0}/helpers/esm/decorateParam.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorateParam.js
+//#region \0@oxc-project+runtime@0.153.0/helpers/esm/decorateParam.js
 function __decorateParam(paramIndex, decorator) {
 	return function(target, key) {
 		decorator(target, key, paramIndex);

package/dist/index.js

@@ -1,3 +1,4 @@
+import { normalizePrefix, parseProxyOrigin, proxyMountProblems } from "./nodefony/src/proxy/rules.js";
 import config, { httpConfigSchema, httpOverlaySchema } from "./nodefony/config/config.js";
 import { defineHttpConfig, httpConfigJsonSchema } from "./nodefony/config/defineModuleConfig.js";
 import { createHttpAdminApi } from "./nodefony/service/HttpAdminApi.js";
@@ -16,19 +17,21 @@ import HttpRequest from "./nodefony/src/context/http/Request.js";
 import HttpResponse from "./nodefony/src/context/http/Response.js";
 import Http2Request from "./nodefony/src/context/http2/Request.js";
 import Http2Response from "./nodefony/src/context/http2/Response.js";
+import { SSE_HEARTBEAT_MS, SseStream, acceptsEventStream, openSseStream } from "./nodefony/src/context/http/SseStream.js";
 import HttpContext from "./nodefony/src/context/http/HttpContext.js";
 import DefaultErrorRenderer, { schemaMismatchOf } from "./nodefony/service/error-renderer.js";
 import DefaultRequestLogger from "./nodefony/service/request-logger.js";
 import JsonAuditLogger from "./nodefony/service/audit-logger.js";
 import PrettyRequestLogger from "./nodefony/service/pretty-request-logger.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorate.js";
 import http_kernel_default from "./nodefony/service/http-kernel.js";
 import server_http_default from "./nodefony/service/servers/server-http.js";
 import server_https_default from "./nodefony/service/servers/server-https.js";
 import server_websocket_default from "./nodefony/service/servers/server-websocket.js";
 import server_websocket_secure_default from "./nodefony/service/servers/server-websocket-secure.js";
 import Statics from "./nodefony/service/servers/server-static.js";
+import ReverseProxy from "./nodefony/service/reverse-proxy.js";
 import Network from "./nodefony/command/networkCommand.js";
 import Certificates from "./nodefony/command/certificatesCommand.js";
 import ProxyGenerate from "./nodefony/command/proxyGenerateCommand.js";
@@ -36,7 +39,7 @@ import AssetsPublish from "./nodefony/command/assetsPublishCommand.js";
 import Session from "./nodefony/src/session/session.js";
 import { SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS } from "./nodefony/src/session/storage/sessionSort.js";
 import sessions_service_default from "./nodefony/service/sessions/sessions-service.js";
-import Certificate from "./nodefony/service/certificates.js";
+import Certificate, { trustOutboundAuthorities } from "./nodefony/service/certificates.js";
 import upload_service_default from "./nodefony/service/upload/upload-service.js";
 import { PrebuiltUi, resolveUiDelivery } from "./nodefony/src/assets/prebuiltUi.js";
 import { Kernel, Module, services } from "nodefony";
@@ -70,7 +73,9 @@ let Http = class Http extends Module {
 	*/
 	async onKernelRegister() {
 		const input = this.options;
-		this.options = defineHttpConfig(input ?? {}, this.kernel);
+		const options = defineHttpConfig(input ?? {}, this.kernel);
+		this.options = options;
+		await trustOutboundAuthorities(options.certificates.extraCaFiles, this.kernel?.path ?? process.cwd(), (message, severity) => this.log(message, severity));
 		return this;
 	}
 	/**
@@ -99,6 +104,7 @@ Http = __decorate([services([
 	Certificate,
 	sessions_service_default,
 	Statics,
+	ReverseProxy,
 	server_http_default,
 	server_https_default,
 	server_websocket_default,
@@ -107,4 +113,4 @@ Http = __decorate([services([
 ]), __decorateMetadata("design:paramtypes", [typeof Kernel === "undefined" ? Object : Kernel])], Http);
 var http_default = Http;
 //#endregion
-export { Context, Cookie, DefaultErrorRenderer, DefaultRequestLogger, FrameProfile, Http2Request, Http2Response, HttpContext, HttpError, http_kernel_default as HttpKernel, HttpRequest, HttpResponse, HttpResponse as Response, JsonAuditLogger, MemoryRateLimitStore, PrebuiltUi, PrettyRequestLogger, Profiler, SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS, Session, sessions_service_default as SessionsService, WebsocketContext, WebsocketResponse, WebsocketResponse as wsResponse, compileDomainPattern, compileDomainPatterns, compileTrustedHosts, decideSend, http_default as default, defineHttpConfig, httpConfigJsonSchema, httpConfigSchema, isDomainAllowed, readBackpressureOptions, resolveUiDelivery, schemaMismatchOf };
+export { Context, Cookie, DefaultErrorRenderer, DefaultRequestLogger, FrameProfile, Http2Request, Http2Response, HttpContext, HttpError, http_kernel_default as HttpKernel, HttpRequest, HttpResponse, HttpResponse as Response, JsonAuditLogger, MemoryRateLimitStore, PrebuiltUi, PrettyRequestLogger, Profiler, ReverseProxy, SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS, SSE_HEARTBEAT_MS, Session, sessions_service_default as SessionsService, SseStream, WebsocketContext, WebsocketResponse, WebsocketResponse as wsResponse, acceptsEventStream, compileDomainPattern, compileDomainPatterns, compileTrustedHosts, decideSend, http_default as default, defineHttpConfig, httpConfigJsonSchema, httpConfigSchema, isDomainAllowed, normalizePrefix, openSseStream, parseProxyOrigin, proxyMountProblems, readBackpressureOptions, resolveUiDelivery, schemaMismatchOf };

package/dist/nodefony/command/certificatesCommand.js

@@ -26,7 +26,6 @@ var Certificates = class extends Command {
 			this.log("Service 'certificates' introuvable (module @nodefony/http non chargé).", "ERROR");
 			return this;
 		}
-		await service.loadForge();
 		await service.generateServerCertificates(Boolean(opts.force));
 		const info = await service.describe();
 		if (opts.json) process.stdout.write(`${JSON.stringify(info, void 0, 2)}\n`);

package/dist/nodefony/config/config.js

@@ -1,3 +1,4 @@
+import { normalizePrefix, proxyMountProblems } from "../src/proxy/rules.js";
 import { overlayField } from "nodefony";
 import { z } from "zod";
 //#region nodefony/config/config.ts
@@ -159,8 +160,9 @@ const http3Schema = z.looseObject({});
 const selfSignedAttrSchema = z.looseObject({
 	name: z.string().optional(),
 	value: z.string().optional(),
-	shortName: z.string().optional()
-}).describe("Champ de sujet/issuer node-forge (CertificateField).");
+	shortName: z.string().optional(),
+	type: z.string().optional()
+}).describe("Attribut du sujet/émetteur : `name` (commonName…), `shortName` (CN…) ou `type` (OID), et `value`.");
 const selfSignedSchema = z.strictObject({
 	size: z.number().int().positive().default(2048).describe("Taille de la clé RSA (bits). 2048 minimum, 4096 recommandé en prod."),
 	hash: z.enum([
@@ -174,14 +176,14 @@ const selfSignedSchema = z.strictObject({
 		kernelDerived: true,
 		description: "Attributs du certificat (commonName, organizationName…). Vide (défaut) = dérivés du kernel par le builder (commonName ← domain)."
 	})
-}).describe("Génération du certificat AUTO-SIGNÉ (node-forge, JavaScript pur — aucun binaire externe n'est invoqué). Ces réglages ne valent QUE pour la stratégie `selfsigned` : sous `mkcert` (défaut en développement) ils sont ignorés — mkcert ne reçoit que les noms d'hôtes — et sous `strategy: \"explicit\"` le certificat est fourni, donc rien n'est généré.");
+}).describe("Génération du certificat AUTO-SIGNÉ (node:crypto — aucun binaire externe ni dépendance tierce). Ces réglages ne valent QUE pour la stratégie `selfsigned` : sous `mkcert` (défaut en développement) ils sont ignorés — mkcert ne reçoit que les noms d'hôtes — et sous `strategy: \"explicit\"` le certificat est fourni, donc rien n'est généré.");
 const sanSchema = z.strictObject({
 	dns: z.array(z.string()).default([]).meta({
 		kernelDerived: true,
 		description: "Noms DNS du Subject Alternative Name (RFC 5280 §4.2.1.6). Vide = dérivé du kernel (localhost + domain)."
 	}),
 	ip: z.array(z.string()).default([]).describe("Adresses IP du SAN. Vide = dérivé (127.0.0.1, ::1).")
-}).describe("Subject Alternative Name explicite. Vide = dérivé (localhost + domaine kernel). Chrome ignore le commonName depuis RFC 2818 → le SAN fait foi.");
+}).describe("Subject Alternative Name explicite. Vide = dérivé (localhost + domaine kernel). Chrome ignore le commonName ; le SAN seul fait foi (RFC 9525).");
 const certDevSchema = z.strictObject({ useMkcert: z.boolean().default(true).describe("Préférer mkcert (CA locale trustée) en dev → HTTPS sans erreur navigateur (HMR/WSS). false = forcer le fallback auto-signé. Ignoré hors dev.") }).describe("Options de génération du certificat en développement.");
 const certificatesSchema = z.strictObject({
 	strategy: z.enum([
@@ -194,6 +196,7 @@ const certificatesSchema = z.strictObject({
 	key: z.string().default("").describe("Chemin de la clé privée TLS. Vide = générée."),
 	cert: z.string().default("").describe("Chemin du certificat TLS. Vide = généré."),
 	privateKeyMode: z.number().int().default(384).meta({ description: "Permissions POSIX de la clé privée écrite sur disque (0600 = lecture/écriture owner uniquement). Une clé TLS ne doit JAMAIS être world-readable." }),
+	extraCaFiles: z.array(z.string().min(1)).default([]).describe("Autorités de certification supplémentaires pour les requêtes SORTANTES du processus (découverte OpenID, jeton, jeu de clés, API tierces) : fichiers PEM, absolus ou relatifs à la racine de l'application, un fichier pouvant porter une chaîne entière. L'équivalent porté par l'application de NODE_EXTRA_CA_CERTS — sans syntaxe de shell, donc identique sous Windows. Fichier illisible ou sans certificat = refus au démarrage. La CA de développement générée par Nodefony n'a pas besoin d'y figurer."),
 	san: sanSchema.default(() => sanSchema.parse({})),
 	dev: certDevSchema.default(() => certDevSchema.parse({})),
 	selfSigned: selfSignedSchema.default(() => selfSignedSchema.parse({}))
@@ -220,9 +223,9 @@ const websocketSchema = z.looseObject({
 	autoPong: z.boolean().default(true).describe("Répond automatiquement par un pong à chaque ping entrant (RFC 6455 §5.5.2-5.5.3). Laisser true — requis par le protocole et par le heartbeat des pairs."),
 	allowSynchronousEvents: z.boolean().default(true).describe("Émet les events ('message', 'ping'…) de plusieurs frames lues dans un même chunk réseau de façon synchrone (ws@8.18+). true = meilleur débit ; false = un event par tick d'event loop (latence plus régulière, plus équitable entre connexions)."),
 	maxBackpressure: z.number().int().nonnegative().default(4194304).describe("Seuil (octets) du buffer d'envoi par connexion (`ws.bufferedAmount`) au-delà duquel `backpressurePolicy` s'applique. Borne la RAM d'envoi face à un client LENT À RECEVOIR (anti-OOM) ; broadcast() amplifie (un seul lent peut plomber la diffusion). 0 = désactivé. Défaut 4 MiB."),
-	backpressureCloseAfterDrops: z.number().int().nonnegative().default(1e3).describe("Nombre de frames refusées D'AFFILÉE au-delà duquel la connexion est FERMÉE (1013), en politique 'drop'. Une frame qui repart remet le compteur à zéro. POURQUOI une série et pas un second seuil d'octets : une fois qu'on jette, plus rien n'alimente la file — elle plafonne au seuil de drop et n'atteint jamais un seuil supérieur, qui serait donc inatteignable (mesuré). Une série de refus, elle, distingue le pic passager du client mort. 0 = ne jamais fermer. Défaut 1000."),
+	backpressureCloseAfterDrops: z.number().int().nonnegative().default(1e3).describe("SOLDE de frames refusées au-delà duquel la connexion est FERMÉE (1013), en politique 'drop' : +1 par frame refusée, −1 par frame envoyée. POURQUOI un solde et pas un second seuil d'octets : une fois qu'on jette, plus rien n'alimente la file — elle plafonne au seuil de drop et n'atteint jamais un seuil supérieur, qui serait donc inatteignable (mesuré). Et pas une série remise à zéro au premier envoi : la file d'un client bloqué oscille autour du seuil, chaque envoi effacerait la série et il ne serait jamais fermé. Le solde, lui, distingue le pic passager du client mort. 0 = ne jamais fermer. Défaut 1000."),
 	backpressurePolicy: z.enum(["drop", "close"]).default("drop").describe("Action quand `ws.bufferedAmount` dépasse `maxBackpressure`. 'drop' = sauter la frame pour ce client (il reste connecté, dégradable — idéal télémétrie/broadcast, défaut). 'close' = fermer le client (RFC 6455 close 1013 « Try Again Later »). La fusion (coalesce) relève de la couche canal realtime, pas du transport.")
-}).describe("Serveur WebSocket (`ws@8`). Les options ci-dessus (+ loose : `verifyClient`, `handleProtocols`, `path`, `WebSocket`…) sont transmises à `ws`. GÉRÉ par Nodefony et donc NON exposé : `server`/`host`/`port` (attaché au serveur HTTP), `noServer` (forcé off), `clientTracking` (forcé true — requis par broadcast() + heartbeat), `backlog` (celui du serveur HTTP). `keepalive*`/`closeTimeout` sont des knobs Nodefony, pas des options `ws`.");
+}).describe("Serveur WebSocket (`ws@8`). Les options ci-dessus (+ loose : `verifyClient`, `handleProtocols`, `path`, `WebSocket`…) sont transmises à `ws`. GÉRÉ par Nodefony et donc NON exposé : `server`/`host`/`port`/`noServer` (forcé à `noServer` : l'upgrade du serveur HTTP passe d'abord par le proxy inverse, puis par `ws`), `clientTracking` (forcé true — requis par broadcast() + heartbeat), `backlog` (celui du serveur HTTP). `keepalive*`/`closeTimeout` sont des knobs Nodefony, pas des options `ws`.");
 const staticOptionsSchema = z.looseObject({
 	cacheControl: z.boolean().optional().describe("Active le header Cache-Control."),
 	maxAge: z.number().int().nonnegative().optional().describe("Durée de cache (selon l'entrée : secondes pour defaultOptions, ms côté serve-static).")
@@ -286,6 +289,43 @@ const healthSchema = z.looseObject({
 	readinessPath: z.string().default("/readyz").describe("Chemin de la probe readiness (k8s `readinessProbe.httpGet.path`). 200 quand le boot est complet (`onPostReady`) ; 503 avant, et dès le début du shutdown (le LB retire le pod AVANT le drain)."),
 	shutdownDelay: z.number().int().nonnegative().default(0).describe("Délai (ms) entre la bascule readiness→503 et le début du drain — laisse aux endpoints k8s/LB le temps de retirer le pod (fenêtre réelle de propagation ~1-2 s). 0 (défaut) = drain immédiat ; alternative opérationnelle : `lifecycle.preStop: sleep N` dans le pod spec. À additionner au budget < grace period (30 s k8s).")
 }).describe("Probes de santé cloud-native `/livez` + `/readyz` (liveness/readiness k8s, HEALTHCHECK Docker) — servies par les serveurs HTTP et HTTPS.");
+const proxyMountSchema = z.strictObject({
+	target: z.string().describe("Origine de l'amont : `scheme://hôte[:port]`, http ou https, SANS chemin (ex. `http://127.0.0.1:8080`). Le chemin relayé est celui de la requête (cf `stripPrefix`)."),
+	methods: z.array(z.string()).optional().describe("Méthodes relayées (casse indifférente). Une autre méthode n'est PAS relayée : la requête suit le routage de l'application (404 si rien ne la prend). Absent = toutes."),
+	websocket: z.boolean().default(false).describe("Relaie aussi l'upgrade WebSocket du préfixe (même origine, même certificat que la page). Défaut false : un upgrade sur le préfixe reste au serveur WebSocket de Nodefony."),
+	stripPrefix: z.boolean().default(false).describe("Retire le préfixe avant de transmettre (`/billing/factures` → `/factures`). Défaut false : l'amont reçoit le chemin complet. ⚠️ Un amont qui ignore son préfixe rendra des liens absolus (`/x`) et des redirections qui sortent du montage."),
+	preserveHost: z.boolean().default(false).describe("Transmet le `Host` du client au lieu de celui de la cible. Défaut false : l'amont reçoit son propre nom (ce qu'attend un serveur qui filtre les noms d'hôte), le nom d'origine part en `X-Forwarded-Host`."),
+	stripHeaders: z.array(z.string()).default([]).describe("En-têtes de requête à ne PAS transmettre (ex. `[\"cookie\", \"authorization\"]` vers un amont qui n'a pas à voir la session). Les en-têtes de connexion (RFC 9110 §7.6.1) ne le sont jamais."),
+	timeoutMs: z.number().optional().describe("Délai d'inactivité avec l'amont (ms) — dépassé avant la réponse (ou avant le `101` d'un upgrade WebSocket) : 504. Absent = `proxy.timeoutMs`. Ne s'applique pas à un WebSocket établi."),
+	secure: z.boolean().default(true).describe("Vérifie le certificat d'une cible https. `false` n'est accepté que vers la boucle locale (`127.0.0.0/8`, `localhost`, `::1`) ; ailleurs, fournir l'autorité de l'amont (`certificates.extraCaFiles`, ou `NODE_EXTRA_CA_CERTS`).")
+}).describe("Un montage du proxy inverse : un préfixe d'URL relayé vers un amont.");
+const proxySchema = z.strictObject({
+	timeoutMs: z.number().int().positive().default(3e4).describe("Délai d'inactivité par défaut de tous les montages (ms) : un amont muet au-delà rend 504 Gateway Timeout. Défaut 30 s."),
+	connectTimeoutMs: z.number().int().positive().default(5e3).describe("Délai d'ÉTABLISSEMENT de la connexion vers un amont (ms), distinct du délai d'inactivité : un amont qui n'accepte pas la connexion rend 504 sans tenir le client pendant `timeoutMs`. Défaut 5 s."),
+	maxSockets: z.number().int().positive().default(256).describe("Connexions simultanées maximales vers UN amont (pool keep-alive dédié par montage) ; au-delà, les requêtes attendent un socket libre. Borne aussi les tunnels WebSocket relayés, hors pool : au-delà, l'upgrade rend 503. Défaut 256. Le pool ignore `HTTP_PROXY`/`NODE_USE_ENV_PROXY` : un amont se joint en direct."),
+	mounts: z.record(z.string(), proxyMountSchema).default({}).describe("Préfixe d'URL → amont. Consulté AVANT le routage : une route de l'application sous ce préfixe ne sera jamais atteinte. ⚠️ Servi AVANT le pare-feu, la CSRF et les en-têtes applicatifs (CSP, Referrer-Policy, COOP) — l'amont porte sa propre politique d'accès ; les en-têtes de transport (nosniff, X-Frame-Options, HSTS) sont posés si l'amont ne les fixe pas, et les quotas (rate-limit, connexions WebSocket par IP) s'appliquent. Correspondance au préfixe le PLUS LONG. Refusés au démarrage : `/`, ce qui est sous `/nodefony/` (administration) ou `/_vite/` (monté par @nodefony/frontend), deux clés qui désignent le même préfixe.")
+}).superRefine((proxy, ctx) => {
+	const seen = /* @__PURE__ */ new Map();
+	for (const [prefix, mount] of Object.entries(proxy.mounts)) {
+		const normalized = normalizePrefix(prefix);
+		const twin = seen.get(normalized);
+		if (twin !== void 0) ctx.addIssue({
+			code: "custom",
+			path: ["mounts", prefix],
+			message: `« ${prefix} » et « ${twin} » désignent le même préfixe (${normalized}) — n'en garder qu'un`
+		});
+		seen.set(normalized, prefix);
+		for (const problem of proxyMountProblems(prefix, mount, "config")) ctx.addIssue({
+			code: "custom",
+			path: problem.field === "prefix" ? ["mounts", prefix] : [
+				"mounts",
+				prefix,
+				problem.field
+			],
+			message: problem.message
+		});
+	}
+}).describe("Proxy inverse : relaie un préfixe d'URL (requêtes et, sur demande, WebSocket) vers un autre serveur, sur la MÊME origine que la page — un seul certificat, l'amont peut rester sur la boucle locale. En-têtes de connexion jamais transmis, `X-Forwarded-*` et `Via` posés, `trustedHosts` appliqué, 502/504 sur amont injoignable/muet, boucle détectée (508).");
 const httpConfigSchema = z.strictObject({
 	headerServer: z.string().nullable().default("nodefony").meta({
 		runtimeMutable: true,
@@ -322,9 +362,10 @@ const httpConfigSchema = z.strictObject({
 	session: sessionSchema.default(() => sessionSchema.parse({})),
 	rateLimit: rateLimitSchema.default(() => rateLimitSchema.parse({})),
 	health: healthSchema.default(() => healthSchema.parse({})),
+	proxy: proxySchema.default(() => proxySchema.parse({})),
 	wsMaxConnectionsPerIp: z.number().int().positive().nullable().default(null).meta({
 		runtimeMutable: true,
-		description: "Backstop OPT-IN : plafond de connexions WebSocket CONCURRENTES par IP cliente. `null` (DÉFAUT) = désactivé. Distinct de `rateLimit` (qui borne le DÉBIT d'ouverture par fenêtre) : ici on borne le NOMBRE de sockets simultanément ouvertes par IP. Au-delà, l'upgrade est fermé (RFC 6455 close 1013). ⚠️ PORTÉE PAR PROCESS (1 pod) : un vrai plafond GLOBAL/IP se fait à l'INGRESS/LB — nginx `limit_conn`, HAProxy `sc_conn_cur`, annotation k8s `nginx.ingress.kubernetes.io/limit-connections` — qui voit TOUT le trafic, rejette AVANT que l'app paie le fd + le handshake TLS, et couvre tous les pods. En cloud-native, laisser `null` et déléguer à l'edge. N'activer (ex. 20) que sur bare-metal/VPS SANS ingress, comme défense en profondeur. IP résolue forwarded-aware (RFC 7239 + trustProxy)."
+		description: "Backstop OPT-IN : plafond de connexions LONGUES CONCURRENTES par IP cliente — sockets WebSocket ET flux SSE, un seul budget pour les deux. `null` (DÉFAUT) = désactivé. Distinct de `rateLimit` (qui borne le DÉBIT d'ouverture par fenêtre) : ici on borne le NOMBRE de connexions simultanément ouvertes par IP. Au-delà, l'upgrade WebSocket est fermé (RFC 6455 close 1013) et un flux SSE répond 429. ⚠️ PORTÉE PAR PROCESS (1 pod) : un vrai plafond GLOBAL/IP se fait à l'INGRESS/LB — nginx `limit_conn`, HAProxy `sc_conn_cur`, annotation k8s `nginx.ingress.kubernetes.io/limit-connections` — qui voit TOUT le trafic, rejette AVANT que l'app paie le fd + le handshake TLS, et couvre tous les pods. En cloud-native, laisser `null` et déléguer à l'edge. N'activer (ex. 20) que sur bare-metal/VPS SANS ingress, comme défense en profondeur. IP résolue forwarded-aware (RFC 7239 + trustProxy)."
 	})
 }).describe("Configuration de @nodefony/http.");
 /**

package/dist/nodefony/config/defineModuleConfig.js

@@ -11,7 +11,7 @@ import { z } from "zod";
 *   Sans ce remplissage, le certificat auto-signé n'aurait pas de commonName.
 * - `certificates.san` vide → Subject Alternative Name dérivé du kernel
 *   (`localhost` + `kernel.domain` en DNS ; `127.0.0.1`/`::1` en IP). Le SAN fait
-*   foi pour la vérification d'hôte (RFC 6125) — Chrome ignore le commonName.
+*   foi pour la vérification d'hôte (RFC 9525) — Chrome ignore le commonName.
 *   `0.0.0.0` (bind toutes interfaces) n'est PAS un nom DNS valide → exclu.
 *
 * Muté EN PLACE (pas de copie) : la config est ré-assignée à `module.options`

package/dist/nodefony/interfaces/IReverseProxy.js

@@ -0,0 +1 @@
+export {};

package/dist/nodefony/service/HttpAdminApi.js

@@ -25,7 +25,6 @@ function pageParams(query) {
 function adminActor(user) {
 	if (user && typeof user === "object") {
 		const u = user;
-		if (typeof u.username === "string" && u.username) return u.username;
 		if (typeof u.identifier === "string" && u.identifier) return u.identifier;
 	}
 	return "admin";

package/dist/nodefony/service/audit-logger.js

@@ -1,4 +1,3 @@
-import { RequestContext } from "nodefony";
 import { performance } from "node:perf_hooks";
 //#region nodefony/service/audit-logger.ts
 /**
@@ -84,7 +83,7 @@ var JsonAuditLogger = class {
 		const entry = {
 			ts: (/* @__PURE__ */ new Date()).toISOString(),
 			requestId: ctx.requestId,
-			userId: RequestContext.getUserId() ?? null,
+			userIdentifier: ctx.userIdentifier ?? null,
 			type: "http",
 			scheme: ctx.scheme,
 			method: ctx.method,
@@ -115,7 +114,7 @@ var JsonAuditLogger = class {
 		const entry = {
 			ts: (/* @__PURE__ */ new Date()).toISOString(),
 			requestId: ctx.requestId,
-			userId: RequestContext.getUserId() ?? null,
+			userIdentifier: ctx.userIdentifier ?? null,
 			type: "ws",
 			scheme: ctx.scheme,
 			method: ctx.method,