@nodefony/http 10.0.0-beta.2 → 10.0.0-beta.4

package/dist/_virtual/{_@oxc-project_runtime@0.152.0 → _@oxc-project_runtime@0.155.0}/helpers/esm/decorate.js

@@ -1,9 +1,8 @@
-//#region \0@oxc-project+runtime@0.152.0/helpers/esm/decorate.js
+// \0@oxc-project+runtime@0.155.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
 	else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
 	return c > 3 && r && Object.defineProperty(target, key, r), r;
 }
-//#endregion
 export { __decorate as default };

package/dist/_virtual/{_@oxc-project_runtime@0.152.0 → _@oxc-project_runtime@0.155.0}/helpers/esm/decorateParam.js

@@ -1,8 +1,7 @@
-//#region \0@oxc-project+runtime@0.152.0/helpers/esm/decorateParam.js
+// \0@oxc-project+runtime@0.155.0/helpers/esm/decorateParam.js
 function __decorateParam(paramIndex, decorator) {
 	return function(target, key) {
 		decorator(target, key, paramIndex);
 	};
 }
-//#endregion
 export { __decorateParam as default };

package/dist/index.js

@@ -1,7 +1,9 @@
+import { normalizePrefix, parseProxyOrigin, proxyMountProblems } from "./nodefony/src/proxy/rules.js";
 import config, { httpConfigSchema, httpOverlaySchema } from "./nodefony/config/config.js";
 import { defineHttpConfig, httpConfigJsonSchema } from "./nodefony/config/defineModuleConfig.js";
 import { createHttpAdminApi } from "./nodefony/service/HttpAdminApi.js";
 import { createProfilerAdminApi } from "./nodefony/service/ProfilerAdminApi.js";
+import { ACTION_SELF_PHASE, NO_ROUTE, N_PLUS_ONE_MIN_REPEATS, TOOLING_URL_PREFIX, aggregateProfiles, createProfileAggregator, isFailedProfile, sqlShape } from "./nodefony/src/profiler/aggregate.js";
 import { Profiler } from "./nodefony/src/profiler/Profiler.js";
 import HttpError from "./nodefony/src/errors/httpError.js";
 import { MemoryRateLimitStore } from "./nodefony/src/rateLimit/MemoryRateLimitStore.js";
@@ -16,19 +18,21 @@ import HttpRequest from "./nodefony/src/context/http/Request.js";
 import HttpResponse from "./nodefony/src/context/http/Response.js";
 import Http2Request from "./nodefony/src/context/http2/Request.js";
 import Http2Response from "./nodefony/src/context/http2/Response.js";
+import { SSE_HEARTBEAT_MS, SseStream, acceptsEventStream, openSseStream } from "./nodefony/src/context/http/SseStream.js";
 import HttpContext from "./nodefony/src/context/http/HttpContext.js";
-import DefaultErrorRenderer, { schemaMismatchOf } from "./nodefony/service/error-renderer.js";
-import DefaultRequestLogger from "./nodefony/service/request-logger.js";
+import DefaultErrorRenderer, { schemaMismatchOf, toValidationFields } from "./nodefony/service/error-renderer.js";
 import JsonAuditLogger from "./nodefony/service/audit-logger.js";
+import DefaultRequestLogger from "./nodefony/service/request-logger.js";
 import PrettyRequestLogger from "./nodefony/service/pretty-request-logger.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
 import http_kernel_default from "./nodefony/service/http-kernel.js";
 import server_http_default from "./nodefony/service/servers/server-http.js";
 import server_https_default from "./nodefony/service/servers/server-https.js";
+import server_h2c_default from "./nodefony/service/servers/server-h2c.js";
 import server_websocket_default from "./nodefony/service/servers/server-websocket.js";
 import server_websocket_secure_default from "./nodefony/service/servers/server-websocket-secure.js";
 import Statics from "./nodefony/service/servers/server-static.js";
+import ReverseProxy from "./nodefony/service/reverse-proxy.js";
 import Network from "./nodefony/command/networkCommand.js";
 import Certificates from "./nodefony/command/certificatesCommand.js";
 import ProxyGenerate from "./nodefony/command/proxyGenerateCommand.js";
@@ -36,11 +40,12 @@ import AssetsPublish from "./nodefony/command/assetsPublishCommand.js";
 import Session from "./nodefony/src/session/session.js";
 import { SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS } from "./nodefony/src/session/storage/sessionSort.js";
 import sessions_service_default from "./nodefony/service/sessions/sessions-service.js";
-import Certificate from "./nodefony/service/certificates.js";
+import Certificate, { trustOutboundAuthorities } from "./nodefony/service/certificates.js";
 import upload_service_default from "./nodefony/service/upload/upload-service.js";
+import { isWebsocketContext } from "./nodefony/src/context/websocket/isWebsocketContext.js";
 import { PrebuiltUi, resolveUiDelivery } from "./nodefony/src/assets/prebuiltUi.js";
-import { Kernel, Module, services } from "nodefony";
-//#region index.ts
+import { Module, services } from "nodefony";
+// index.ts
 let Http = class Http extends Module {
 	overlaySchema = httpOverlaySchema;
 	constructor(kernel) {
@@ -70,7 +75,9 @@ let Http = class Http extends Module {
 	*/
 	async onKernelRegister() {
 		const input = this.options;
-		this.options = defineHttpConfig(input ?? {}, this.kernel);
+		const options = defineHttpConfig(input ?? {}, this.kernel);
+		this.options = options;
+		await trustOutboundAuthorities(options.certificates.extraCaFiles, this.kernel?.path ?? process.cwd(), (message, severity) => this.log(message, severity), { development: this.kernel?.environment === "development" });
 		return this;
 	}
 	/**
@@ -99,12 +106,13 @@ Http = __decorate([services([
 	Certificate,
 	sessions_service_default,
 	Statics,
+	ReverseProxy,
 	server_http_default,
 	server_https_default,
+	server_h2c_default,
 	server_websocket_default,
 	server_websocket_secure_default,
 	upload_service_default
-]), __decorateMetadata("design:paramtypes", [typeof Kernel === "undefined" ? Object : Kernel])], Http);
+])], Http);
 var http_default = Http;
-//#endregion
-export { Context, Cookie, DefaultErrorRenderer, DefaultRequestLogger, FrameProfile, Http2Request, Http2Response, HttpContext, HttpError, http_kernel_default as HttpKernel, HttpRequest, HttpResponse, HttpResponse as Response, JsonAuditLogger, MemoryRateLimitStore, PrebuiltUi, PrettyRequestLogger, Profiler, SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS, Session, sessions_service_default as SessionsService, WebsocketContext, WebsocketResponse, WebsocketResponse as wsResponse, compileDomainPattern, compileDomainPatterns, compileTrustedHosts, decideSend, http_default as default, defineHttpConfig, httpConfigJsonSchema, httpConfigSchema, isDomainAllowed, readBackpressureOptions, resolveUiDelivery, schemaMismatchOf };
+export { ACTION_SELF_PHASE, Context, Cookie, DefaultErrorRenderer, DefaultRequestLogger, FrameProfile, Http2Request, Http2Response, HttpContext, HttpError, http_kernel_default as HttpKernel, HttpRequest, HttpResponse, HttpResponse as Response, JsonAuditLogger, MemoryRateLimitStore, NO_ROUTE, N_PLUS_ONE_MIN_REPEATS, PrebuiltUi, PrettyRequestLogger, Profiler, ReverseProxy, SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS, SSE_HEARTBEAT_MS, Session, sessions_service_default as SessionsService, SseStream, TOOLING_URL_PREFIX, WebsocketContext, WebsocketResponse, WebsocketResponse as wsResponse, acceptsEventStream, aggregateProfiles, compileDomainPattern, compileDomainPatterns, compileTrustedHosts, createProfileAggregator, decideSend, http_default as default, defineHttpConfig, httpConfigJsonSchema, httpConfigSchema, isDomainAllowed, isFailedProfile, isWebsocketContext, normalizePrefix, openSseStream, parseProxyOrigin, proxyMountProblems, readBackpressureOptions, resolveUiDelivery, schemaMismatchOf, sqlShape, toValidationFields };

package/dist/nodefony/command/assetsPublishCommand.js

@@ -3,7 +3,7 @@ import { Command } from "nodefony";
 import { existsSync } from "node:fs";
 import fsp from "node:fs/promises";
 import { isAbsolute, join, resolve } from "node:path";
-//#region nodefony/command/assetsPublishCommand.ts
+// nodefony/command/assetsPublishCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -35,7 +35,10 @@ async function countFiles(dir) {
 */
 var AssetsPublish = class extends Command {
 	constructor(cli) {
-		super("assets:publish", "rassemble les fichiers statiques pour un CDN", cli, options);
+		super("assets:publish", "rassemble les fichiers statiques pour un CDN", cli, {
+			...options,
+			examples: ["nodefony assets:publish", "nodefony assets:publish --out dist-assets --clean"]
+		});
 		this.addOption("-o, --out <dir>", "output directory (default ./dist-assets)");
 		this.addOption("--clean", "remove the output directory first");
 		this.addOption("--json", "print a machine-readable summary");
@@ -96,5 +99,4 @@ var AssetsPublish = class extends Command {
 		return sources;
 	}
 };
-//#endregion
 export { AssetsPublish as default };

package/dist/nodefony/command/certificatesCommand.js

@@ -1,6 +1,6 @@
 import { Command } from "nodefony";
 import { inspect } from "node:util";
-//#region nodefony/command/certificatesCommand.ts
+// nodefony/command/certificatesCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -16,7 +16,10 @@ const options = {
 */
 var Certificates = class extends Command {
 	constructor(cli) {
-		super("http:certificates", "engendre ou inspecte le certificat TLS de dev", cli, options);
+		super("http:certificates", "engendre ou inspecte le certificat TLS de dev", cli, {
+			...options,
+			examples: ["nodefony http:certificates", "nodefony http:certificates --force"]
+		});
 		this.addOption("-f, --force", "regenerate even if a valid certificate already exists");
 		this.addOption("-j, --json", "output the certificate summary as JSON");
 	}
@@ -42,5 +45,4 @@ Requête vérifiée (NE PAS utiliser -k / rejectUnauthorized:false) :
 		return this;
 	}
 };
-//#endregion
 export { Certificates as default };

package/dist/nodefony/command/networkCommand.js

@@ -1,6 +1,6 @@
 import { Command } from "nodefony";
 import { inspect } from "node:util";
-//#region nodefony/command/networkCommand.ts
+// nodefony/command/networkCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -8,7 +8,10 @@ const options = {
 };
 var Network = class extends Command {
 	constructor(cli) {
-		super("http:network", "les interfaces réseau et adresses de cette machine", cli, options);
+		super("http:network", "les interfaces réseau et adresses de cette machine", cli, {
+			...options,
+			examples: ["nodefony http:network", "nodefony http:network eth0 --json"]
+		});
 		this.addArgument("[interface]", "Selection interface example eth0 ");
 		this.addOption("-j, --json", "get json");
 	}
@@ -23,5 +26,4 @@ var Network = class extends Command {
 		return this;
 	}
 };
-//#endregion
 export { Network as default };

package/dist/nodefony/command/proxyGenerateCommand.js

@@ -1,10 +1,11 @@
 import { resolveTrustedHostNames } from "../src/context/domainMatcher.js";
+import { asServersConfig, configuredServerPort } from "../src/servers/kernelServers.js";
 import { defaultIntrospection, generateHaproxyConfig, generateNginxConfig } from "../src/proxy/generateProxyConfig.js";
 import { planAssetPublish } from "../src/assets/collectAssets.js";
 import { Command } from "nodefony";
 import fsp from "node:fs/promises";
 import { isAbsolute, resolve } from "node:path";
-//#region nodefony/command/proxyGenerateCommand.ts
+// nodefony/command/proxyGenerateCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -18,7 +19,10 @@ const options = {
 */
 var ProxyGenerate = class extends Command {
 	constructor(cli) {
-		super("proxy:generate", "engendre une configuration nginx ou haproxy", cli, options);
+		super("proxy:generate", "engendre une configuration nginx ou haproxy", cli, {
+			...options,
+			examples: ["nodefony proxy:generate nginx", "nodefony proxy:generate haproxy --out haproxy.cfg"]
+		});
 		this.addArgument("<target>", "nginx | haproxy");
 		this.addOption("-o, --out <file>", "write to file instead of stdout");
 		this.addOption("-b, --backend <host>", "backend host the proxy connects to (default 127.0.0.1)");
@@ -67,12 +71,14 @@ var ProxyGenerate = class extends Command {
 			backendHost: opts.backend ?? "127.0.0.1",
 			httpPort: Number(servers?.http?.port) || defaultIntrospection.httpPort,
 			httpsPort: Number(servers?.https?.port) || defaultIntrospection.httpsPort,
+			h2cPort: configuredServerPort(asServersConfig(this.kernel?.options.servers), "h2c") ?? null,
 			staticRoots,
 			mounts,
 			listen: opts.listen ? Number(opts.listen) : defaultIntrospection.listen,
 			reencrypt: Boolean(opts.reencrypt),
 			maxBodyBytes: Number(httpOpts.maxBodySize) || 0,
 			keepaliveIntervalMs: Number(httpOpts.websocket?.keepaliveInterval) || 0,
+			readinessPath: httpOpts.health?.enabled === false ? null : httpOpts.health?.readinessPath ?? "/readyz",
 			tls: opts.tlsCert && opts.tlsKey ? {
 				certPath: opts.tlsCert,
 				keyPath: opts.tlsKey,
@@ -81,5 +87,4 @@ var ProxyGenerate = class extends Command {
 		};
 	}
 };
-//#endregion
 export { ProxyGenerate as default };

package/dist/nodefony/config/config.js

@@ -1,6 +1,7 @@
+import { normalizePrefix, proxyMountProblems } from "../src/proxy/rules.js";
 import { overlayField } from "nodefony";
 import { z } from "zod";
-//#region nodefony/config/config.ts
+// nodefony/config/config.ts
 /**
 * @nodefony/http — CONFIGURATION DU MODULE (schéma Zod = source unique).
 *
@@ -182,7 +183,7 @@ const sanSchema = z.strictObject({
 		description: "Noms DNS du Subject Alternative Name (RFC 5280 §4.2.1.6). Vide = dérivé du kernel (localhost + domain)."
 	}),
 	ip: z.array(z.string()).default([]).describe("Adresses IP du SAN. Vide = dérivé (127.0.0.1, ::1).")
-}).describe("Subject Alternative Name explicite. Vide = dérivé (localhost + domaine kernel). Chrome ignore le commonName depuis RFC 2818 → le SAN fait foi.");
+}).describe("Subject Alternative Name explicite. Vide = dérivé (localhost + domaine kernel). Chrome ignore le commonName ; le SAN seul fait foi (RFC 9525).");
 const certDevSchema = z.strictObject({ useMkcert: z.boolean().default(true).describe("Préférer mkcert (CA locale trustée) en dev → HTTPS sans erreur navigateur (HMR/WSS). false = forcer le fallback auto-signé. Ignoré hors dev.") }).describe("Options de génération du certificat en développement.");
 const certificatesSchema = z.strictObject({
 	strategy: z.enum([
@@ -195,6 +196,7 @@ const certificatesSchema = z.strictObject({
 	key: z.string().default("").describe("Chemin de la clé privée TLS. Vide = générée."),
 	cert: z.string().default("").describe("Chemin du certificat TLS. Vide = généré."),
 	privateKeyMode: z.number().int().default(384).meta({ description: "Permissions POSIX de la clé privée écrite sur disque (0600 = lecture/écriture owner uniquement). Une clé TLS ne doit JAMAIS être world-readable." }),
+	extraCaFiles: z.array(z.string().min(1)).default([]).describe("Autorités de certification supplémentaires pour les requêtes SORTANTES du processus (découverte OpenID, jeton, jeu de clés, API tierces) : fichiers PEM, absolus ou relatifs à la racine de l'application, un fichier pouvant porter une chaîne entière. L'équivalent porté par l'application de NODE_EXTRA_CA_CERTS — sans syntaxe de shell, donc identique sous Windows. Fichier illisible ou sans certificat = refus au démarrage. La CA de développement générée par Nodefony n'a pas besoin d'y figurer."),
 	san: sanSchema.default(() => sanSchema.parse({})),
 	dev: certDevSchema.default(() => certDevSchema.parse({})),
 	selfSigned: selfSignedSchema.default(() => selfSignedSchema.parse({}))
@@ -221,9 +223,9 @@ const websocketSchema = z.looseObject({
 	autoPong: z.boolean().default(true).describe("Répond automatiquement par un pong à chaque ping entrant (RFC 6455 §5.5.2-5.5.3). Laisser true — requis par le protocole et par le heartbeat des pairs."),
 	allowSynchronousEvents: z.boolean().default(true).describe("Émet les events ('message', 'ping'…) de plusieurs frames lues dans un même chunk réseau de façon synchrone (ws@8.18+). true = meilleur débit ; false = un event par tick d'event loop (latence plus régulière, plus équitable entre connexions)."),
 	maxBackpressure: z.number().int().nonnegative().default(4194304).describe("Seuil (octets) du buffer d'envoi par connexion (`ws.bufferedAmount`) au-delà duquel `backpressurePolicy` s'applique. Borne la RAM d'envoi face à un client LENT À RECEVOIR (anti-OOM) ; broadcast() amplifie (un seul lent peut plomber la diffusion). 0 = désactivé. Défaut 4 MiB."),
-	backpressureCloseAfterDrops: z.number().int().nonnegative().default(1e3).describe("Nombre de frames refusées D'AFFILÉE au-delà duquel la connexion est FERMÉE (1013), en politique 'drop'. Une frame qui repart remet le compteur à zéro. POURQUOI une série et pas un second seuil d'octets : une fois qu'on jette, plus rien n'alimente la file — elle plafonne au seuil de drop et n'atteint jamais un seuil supérieur, qui serait donc inatteignable (mesuré). Une série de refus, elle, distingue le pic passager du client mort. 0 = ne jamais fermer. Défaut 1000."),
+	backpressureCloseAfterDrops: z.number().int().nonnegative().default(1e3).describe("SOLDE de frames refusées au-delà duquel la connexion est FERMÉE (1013), en politique 'drop' : +1 par frame refusée, −1 par frame envoyée. POURQUOI un solde et pas un second seuil d'octets : une fois qu'on jette, plus rien n'alimente la file — elle plafonne au seuil de drop et n'atteint jamais un seuil supérieur, qui serait donc inatteignable (mesuré). Et pas une série remise à zéro au premier envoi : la file d'un client bloqué oscille autour du seuil, chaque envoi effacerait la série et il ne serait jamais fermé. Le solde, lui, distingue le pic passager du client mort. 0 = ne jamais fermer. Défaut 1000."),
 	backpressurePolicy: z.enum(["drop", "close"]).default("drop").describe("Action quand `ws.bufferedAmount` dépasse `maxBackpressure`. 'drop' = sauter la frame pour ce client (il reste connecté, dégradable — idéal télémétrie/broadcast, défaut). 'close' = fermer le client (RFC 6455 close 1013 « Try Again Later »). La fusion (coalesce) relève de la couche canal realtime, pas du transport.")
-}).describe("Serveur WebSocket (`ws@8`). Les options ci-dessus (+ loose : `verifyClient`, `handleProtocols`, `path`, `WebSocket`…) sont transmises à `ws`. GÉRÉ par Nodefony et donc NON exposé : `server`/`host`/`port` (attaché au serveur HTTP), `noServer` (forcé off), `clientTracking` (forcé true — requis par broadcast() + heartbeat), `backlog` (celui du serveur HTTP). `keepalive*`/`closeTimeout` sont des knobs Nodefony, pas des options `ws`.");
+}).describe("Serveur WebSocket (`ws@8`). Les options ci-dessus (+ loose : `verifyClient`, `handleProtocols`, `path`, `WebSocket`…) sont transmises à `ws`. GÉRÉ par Nodefony et donc NON exposé : `server`/`host`/`port`/`noServer` (forcé à `noServer` : l'upgrade du serveur HTTP passe d'abord par le proxy inverse, puis par `ws`), `clientTracking` (forcé true — requis par broadcast() + heartbeat), `backlog` (celui du serveur HTTP). `keepalive*`/`closeTimeout` sont des knobs Nodefony, pas des options `ws`.");
 const staticOptionsSchema = z.looseObject({
 	cacheControl: z.boolean().optional().describe("Active le header Cache-Control."),
 	maxAge: z.number().int().nonnegative().optional().describe("Durée de cache (selon l'entrée : secondes pour defaultOptions, ms côté serve-static).")
@@ -287,6 +289,43 @@ const healthSchema = z.looseObject({
 	readinessPath: z.string().default("/readyz").describe("Chemin de la probe readiness (k8s `readinessProbe.httpGet.path`). 200 quand le boot est complet (`onPostReady`) ; 503 avant, et dès le début du shutdown (le LB retire le pod AVANT le drain)."),
 	shutdownDelay: z.number().int().nonnegative().default(0).describe("Délai (ms) entre la bascule readiness→503 et le début du drain — laisse aux endpoints k8s/LB le temps de retirer le pod (fenêtre réelle de propagation ~1-2 s). 0 (défaut) = drain immédiat ; alternative opérationnelle : `lifecycle.preStop: sleep N` dans le pod spec. À additionner au budget < grace period (30 s k8s).")
 }).describe("Probes de santé cloud-native `/livez` + `/readyz` (liveness/readiness k8s, HEALTHCHECK Docker) — servies par les serveurs HTTP et HTTPS.");
+const proxyMountSchema = z.strictObject({
+	target: z.string().describe("Origine de l'amont : `scheme://hôte[:port]`, http ou https, SANS chemin (ex. `http://127.0.0.1:8080`). Le chemin relayé est celui de la requête (cf `stripPrefix`)."),
+	methods: z.array(z.string()).optional().describe("Méthodes relayées (casse indifférente). Une autre méthode n'est PAS relayée : la requête suit le routage de l'application (404 si rien ne la prend). Absent = toutes."),
+	websocket: z.boolean().default(false).describe("Relaie aussi l'upgrade WebSocket du préfixe (même origine, même certificat que la page). Défaut false : un upgrade sur le préfixe reste au serveur WebSocket de Nodefony."),
+	stripPrefix: z.boolean().default(false).describe("Retire le préfixe avant de transmettre (`/billing/factures` → `/factures`). Défaut false : l'amont reçoit le chemin complet. ⚠️ Un amont qui ignore son préfixe rendra des liens absolus (`/x`) et des redirections qui sortent du montage."),
+	preserveHost: z.boolean().default(false).describe("Transmet le `Host` du client au lieu de celui de la cible. Défaut false : l'amont reçoit son propre nom (ce qu'attend un serveur qui filtre les noms d'hôte), le nom d'origine part en `X-Forwarded-Host`."),
+	stripHeaders: z.array(z.string()).default([]).describe("En-têtes de requête à ne PAS transmettre (ex. `[\"cookie\", \"authorization\"]` vers un amont qui n'a pas à voir la session). Les en-têtes de connexion (RFC 9110 §7.6.1) ne le sont jamais."),
+	timeoutMs: z.number().optional().describe("Délai d'inactivité avec l'amont (ms) — dépassé avant la réponse (ou avant le `101` d'un upgrade WebSocket) : 504. Absent = `proxy.timeoutMs`. Ne s'applique pas à un WebSocket établi."),
+	secure: z.boolean().default(true).describe("Vérifie le certificat d'une cible https. `false` n'est accepté que vers la boucle locale (`127.0.0.0/8`, `localhost`, `::1`) ; ailleurs, fournir l'autorité de l'amont (`certificates.extraCaFiles`, ou `NODE_EXTRA_CA_CERTS`).")
+}).describe("Un montage du proxy inverse : un préfixe d'URL relayé vers un amont.");
+const proxySchema = z.strictObject({
+	timeoutMs: z.number().int().positive().default(3e4).describe("Délai d'inactivité par défaut de tous les montages (ms) : un amont muet au-delà rend 504 Gateway Timeout. Défaut 30 s."),
+	connectTimeoutMs: z.number().int().positive().default(5e3).describe("Délai d'ÉTABLISSEMENT de la connexion vers un amont (ms), distinct du délai d'inactivité : un amont qui n'accepte pas la connexion rend 504 sans tenir le client pendant `timeoutMs`. Défaut 5 s."),
+	maxSockets: z.number().int().positive().default(256).describe("Connexions simultanées maximales vers UN amont (pool keep-alive dédié par montage) ; au-delà, les requêtes attendent un socket libre. Borne aussi les tunnels WebSocket relayés, hors pool : au-delà, l'upgrade rend 503. Défaut 256. Le pool ignore `HTTP_PROXY`/`NODE_USE_ENV_PROXY` : un amont se joint en direct."),
+	mounts: z.record(z.string(), proxyMountSchema).default({}).describe("Préfixe d'URL → amont. Consulté AVANT le routage : une route de l'application sous ce préfixe ne sera jamais atteinte. ⚠️ Servi AVANT le pare-feu, la CSRF et les en-têtes applicatifs (CSP, Referrer-Policy, COOP) — l'amont porte sa propre politique d'accès ; les en-têtes de transport (nosniff, X-Frame-Options, HSTS) sont posés si l'amont ne les fixe pas, et les quotas (rate-limit, connexions WebSocket par IP) s'appliquent. Correspondance au préfixe le PLUS LONG. Refusés au démarrage : `/`, ce qui est sous `/nodefony/` (administration) ou `/_vite/` (monté par @nodefony/frontend), deux clés qui désignent le même préfixe.")
+}).superRefine((proxy, ctx) => {
+	const seen = /* @__PURE__ */ new Map();
+	for (const [prefix, mount] of Object.entries(proxy.mounts)) {
+		const normalized = normalizePrefix(prefix);
+		const twin = seen.get(normalized);
+		if (twin !== void 0) ctx.addIssue({
+			code: "custom",
+			path: ["mounts", prefix],
+			message: `« ${prefix} » et « ${twin} » désignent le même préfixe (${normalized}) — n'en garder qu'un`
+		});
+		seen.set(normalized, prefix);
+		for (const problem of proxyMountProblems(prefix, mount, "config")) ctx.addIssue({
+			code: "custom",
+			path: problem.field === "prefix" ? ["mounts", prefix] : [
+				"mounts",
+				prefix,
+				problem.field
+			],
+			message: problem.message
+		});
+	}
+}).describe("Proxy inverse : relaie un préfixe d'URL (requêtes et, sur demande, WebSocket) vers un autre serveur, sur la MÊME origine que la page — un seul certificat, l'amont peut rester sur la boucle locale. En-têtes de connexion jamais transmis, `X-Forwarded-*` et `Via` posés, `trustedHosts` appliqué, 502/504 sur amont injoignable/muet, boucle détectée (508).");
 const httpConfigSchema = z.strictObject({
 	headerServer: z.string().nullable().default("nodefony").meta({
 		runtimeMutable: true,
@@ -323,9 +362,10 @@ const httpConfigSchema = z.strictObject({
 	session: sessionSchema.default(() => sessionSchema.parse({})),
 	rateLimit: rateLimitSchema.default(() => rateLimitSchema.parse({})),
 	health: healthSchema.default(() => healthSchema.parse({})),
+	proxy: proxySchema.default(() => proxySchema.parse({})),
 	wsMaxConnectionsPerIp: z.number().int().positive().nullable().default(null).meta({
 		runtimeMutable: true,
-		description: "Backstop OPT-IN : plafond de connexions WebSocket CONCURRENTES par IP cliente. `null` (DÉFAUT) = désactivé. Distinct de `rateLimit` (qui borne le DÉBIT d'ouverture par fenêtre) : ici on borne le NOMBRE de sockets simultanément ouvertes par IP. Au-delà, l'upgrade est fermé (RFC 6455 close 1013). ⚠️ PORTÉE PAR PROCESS (1 pod) : un vrai plafond GLOBAL/IP se fait à l'INGRESS/LB — nginx `limit_conn`, HAProxy `sc_conn_cur`, annotation k8s `nginx.ingress.kubernetes.io/limit-connections` — qui voit TOUT le trafic, rejette AVANT que l'app paie le fd + le handshake TLS, et couvre tous les pods. En cloud-native, laisser `null` et déléguer à l'edge. N'activer (ex. 20) que sur bare-metal/VPS SANS ingress, comme défense en profondeur. IP résolue forwarded-aware (RFC 7239 + trustProxy)."
+		description: "Backstop OPT-IN : plafond de connexions LONGUES CONCURRENTES par IP cliente — sockets WebSocket ET flux SSE, un seul budget pour les deux. `null` (DÉFAUT) = désactivé. Distinct de `rateLimit` (qui borne le DÉBIT d'ouverture par fenêtre) : ici on borne le NOMBRE de connexions simultanément ouvertes par IP. Au-delà, l'upgrade WebSocket est fermé (RFC 6455 close 1013) et un flux SSE répond 429. ⚠️ PORTÉE PAR PROCESS (1 pod) : un vrai plafond GLOBAL/IP se fait à l'INGRESS/LB — nginx `limit_conn`, HAProxy `sc_conn_cur`, annotation k8s `nginx.ingress.kubernetes.io/limit-connections` — qui voit TOUT le trafic, rejette AVANT que l'app paie le fd + le handshake TLS, et couvre tous les pods. En cloud-native, laisser `null` et déléguer à l'edge. N'activer (ex. 20) que sur bare-metal/VPS SANS ingress, comme défense en profondeur. IP résolue forwarded-aware (RFC 7239 + trustProxy)."
 	})
 }).describe("Configuration de @nodefony/http.");
 /**
@@ -353,5 +393,4 @@ const httpOverlaySchema = z.strictObject({
 * valides par construction ; passés au `super(..., config)` du Module class.
 */
 const config = httpConfigSchema.parse({});
-//#endregion
 export { config as default, httpConfigSchema, httpOverlaySchema };

package/dist/nodefony/config/defineModuleConfig.js

@@ -1,7 +1,7 @@
 import { httpConfigSchema } from "./config.js";
 import { parseModuleConfig } from "nodefony";
 import { z } from "zod";
-//#region nodefony/config/defineModuleConfig.ts
+// nodefony/config/defineModuleConfig.ts
 /**
 * Injecte les défauts dérivés du kernel APRÈS le parse (le schéma reste pur).
 *
@@ -11,7 +11,7 @@ import { z } from "zod";
 *   Sans ce remplissage, le certificat auto-signé n'aurait pas de commonName.
 * - `certificates.san` vide → Subject Alternative Name dérivé du kernel
 *   (`localhost` + `kernel.domain` en DNS ; `127.0.0.1`/`::1` en IP). Le SAN fait
-*   foi pour la vérification d'hôte (RFC 6125) — Chrome ignore le commonName.
+*   foi pour la vérification d'hôte (RFC 9525) — Chrome ignore le commonName.
 *   `0.0.0.0` (bind toutes interfaces) n'est PAS un nom DNS valide → exclu.
 *
 * Muté EN PLACE (pas de copie) : la config est ré-assignée à `module.options`
@@ -89,5 +89,4 @@ function defineHttpConfig(config = {}, kernel) {
 function httpConfigJsonSchema() {
 	return z.toJSONSchema(httpConfigSchema);
 }
-//#endregion
 export { defineHttpConfig, httpConfigJsonSchema };

package/dist/nodefony/interfaces/IReverseProxy.js

@@ -0,0 +1 @@
+export {};

package/dist/nodefony/service/HttpAdminApi.js

@@ -1,7 +1,7 @@
 import { SESSION_FACETS, SESSION_FILTERS, SESSION_STATS_FILTERS } from "../src/session/storage/sessionFilters.js";
 import { RATE_LIMIT_FILTERS } from "../src/rateLimit/rateLimitFilters.js";
 import { parseFilters, parsePageQuery } from "nodefony";
-//#region nodefony/service/HttpAdminApi.ts
+// nodefony/service/HttpAdminApi.ts
 /** Nom du service HttpKernel dans le container (source unique). */
 const HTTP_KERNEL_SERVICE = "HttpKernel";
 /**
@@ -25,7 +25,6 @@ function pageParams(query) {
 function adminActor(user) {
 	if (user && typeof user === "object") {
 		const u = user;
-		if (typeof u.username === "string" && u.username) return u.username;
 		if (typeof u.identifier === "string" && u.identifier) return u.identifier;
 	}
 	return "admin";
@@ -63,6 +62,7 @@ function createHttpAdminApi(module) {
 	const serverServices = [
 		"server-http",
 		"server-https",
+		"server-h2c",
 		"server-websocket",
 		"server-websocket-secure",
 		"server-static"
@@ -372,5 +372,4 @@ function createHttpAdminApi(module) {
 		adminEndpoints: () => endpoints
 	};
 }
-//#endregion
 export { createHttpAdminApi };

package/dist/nodefony/service/ProfilerAdminApi.js

@@ -1,4 +1,4 @@
-//#region nodefony/service/ProfilerAdminApi.ts
+// nodefony/service/ProfilerAdminApi.ts
 /**
 * Producteur `IAdminApi` du **profiler** — exposé sous `/nodefony/profiler/api/*`.
 *
@@ -70,5 +70,4 @@ function createProfilerAdminApi(profiler) {
 		adminEndpoints: () => endpoints
 	};
 }
-//#endregion
 export { createProfilerAdminApi, createProfilerAdminApi as default };

package/dist/nodefony/service/audit-logger.js

@@ -1,6 +1,12 @@
-import { RequestContext } from "nodefony";
+import { handshakeRefusalStatus } from "../src/context/websocket/WebsocketContext.js";
 import { performance } from "node:perf_hooks";
-//#region nodefony/service/audit-logger.ts
+// nodefony/service/audit-logger.ts
+const statusOf = (context) => {
+	return context.response?.statusCode ?? null;
+};
+const headersOf = (context) => {
+	return context.request?.headers ?? {};
+};
 /**
 * Durée totale de la requête, de la première phase (`startMs`) à maintenant.
 * `null` si le chronométrage est coupé (aucune phase enregistrée). Partagée
@@ -66,25 +72,25 @@ var JsonAuditLogger = class {
 		const ctx = context;
 		if (!this.nominalEnabled) {
 			if (error ?? ctx.error) return true;
-			const status = ctx.response?.statusCode ?? null;
+			const status = statusOf(ctx);
 			return status !== null && status >= 400;
 		}
 		if (this.sampleRate <= 1) return true;
 		if (error ?? ctx.error) return true;
-		const status = ctx.response?.statusCode ?? null;
+		const status = statusOf(ctx);
 		if (status !== null && status >= 400) return true;
 		this.sampleCounter = (this.sampleCounter + 1) % this.sampleRate;
 		return this.sampleCounter === 0;
 	}
 	renderHttp(context, error) {
 		const ctx = context;
-		const status = ctx.response?.statusCode ?? null;
-		const headers = ctx.request?.headers ?? {};
+		const status = statusOf(ctx);
+		const headers = headersOf(ctx);
 		const err = error ?? ctx.error ?? null;
 		const entry = {
 			ts: (/* @__PURE__ */ new Date()).toISOString(),
 			requestId: ctx.requestId,
-			userId: RequestContext.getUserId() ?? null,
+			userIdentifier: ctx.userIdentifier ?? null,
 			type: "http",
 			scheme: ctx.scheme,
 			method: ctx.method,
@@ -92,8 +98,8 @@ var JsonAuditLogger = class {
 			status,
 			durationMs: computeDurationMs(ctx.phases),
 			remoteAddress: ctx.remoteAddress ?? null,
-			host: ctx.getHost?.() ?? null,
-			userAgent: ctx.getUserAgent?.() ?? null,
+			host: ctx.getHost() ?? null,
+			userAgent: ctx.getUserAgent() ?? null,
 			hasAuthorization: Boolean(headers["authorization"]),
 			hasCookie: Boolean(headers["cookie"]),
 			phases: ctx.phases.length ? ctx.phases.map((p) => ({
@@ -110,12 +116,13 @@ var JsonAuditLogger = class {
 	}
 	renderWebsocket(context, error, acceptedProtocol) {
 		const ctx = context;
-		const status = ctx.response?.statusCode ?? null;
-		const headers = ctx.request?.headers ?? {};
+		const refused = error ? handshakeRefusalStatus(ctx, error) : null;
+		const status = refused ?? statusOf(ctx);
+		const headers = headersOf(ctx);
 		const entry = {
 			ts: (/* @__PURE__ */ new Date()).toISOString(),
 			requestId: ctx.requestId,
-			userId: RequestContext.getUserId() ?? null,
+			userIdentifier: ctx.userIdentifier ?? null,
 			type: "ws",
 			scheme: ctx.scheme,
 			method: ctx.method,
@@ -123,8 +130,8 @@ var JsonAuditLogger = class {
 			status,
 			durationMs: computeDurationMs(ctx.phases),
 			remoteAddress: ctx.remoteAddress ?? null,
-			host: ctx.getHost?.() ?? null,
-			userAgent: ctx.getUserAgent?.() ?? null,
+			host: ctx.getHost() ?? null,
+			userAgent: ctx.getUserAgent() ?? null,
 			hasAuthorization: Boolean(headers["authorization"]),
 			hasCookie: Boolean(headers["cookie"]),
 			phases: ctx.phases.length ? ctx.phases.map((p) => ({
@@ -136,7 +143,7 @@ var JsonAuditLogger = class {
 		};
 		return {
 			text: JSON.stringify(entry),
-			severity: error ? "ERROR" : "INFO",
+			severity: refused !== null ? severityFromStatus(refused) : error ? "ERROR" : "INFO",
 			msgid: "audit"
 		};
 	}
@@ -158,5 +165,4 @@ var JsonAuditLogger = class {
 		return entry;
 	}
 };
-//#endregion
 export { computeDurationMs, JsonAuditLogger as default, severityFromStatus };