@nodefony/http 10.0.0-beta.3 → 10.0.0-beta.4

package/dist/_virtual/{_@oxc-project_runtime@0.153.0 → _@oxc-project_runtime@0.155.0}/helpers/esm/decorate.js

@@ -1,9 +1,8 @@
-//#region \0@oxc-project+runtime@0.153.0/helpers/esm/decorate.js
+// \0@oxc-project+runtime@0.155.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
 	else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
 	return c > 3 && r && Object.defineProperty(target, key, r), r;
 }
-//#endregion
 export { __decorate as default };

package/dist/_virtual/{_@oxc-project_runtime@0.153.0 → _@oxc-project_runtime@0.155.0}/helpers/esm/decorateParam.js

@@ -1,8 +1,7 @@
-//#region \0@oxc-project+runtime@0.153.0/helpers/esm/decorateParam.js
+// \0@oxc-project+runtime@0.155.0/helpers/esm/decorateParam.js
 function __decorateParam(paramIndex, decorator) {
 	return function(target, key) {
 		decorator(target, key, paramIndex);
 	};
 }
-//#endregion
 export { __decorateParam as default };

package/dist/index.js

@@ -3,6 +3,7 @@ import config, { httpConfigSchema, httpOverlaySchema } from "./nodefony/config/c
 import { defineHttpConfig, httpConfigJsonSchema } from "./nodefony/config/defineModuleConfig.js";
 import { createHttpAdminApi } from "./nodefony/service/HttpAdminApi.js";
 import { createProfilerAdminApi } from "./nodefony/service/ProfilerAdminApi.js";
+import { ACTION_SELF_PHASE, NO_ROUTE, N_PLUS_ONE_MIN_REPEATS, TOOLING_URL_PREFIX, aggregateProfiles, createProfileAggregator, isFailedProfile, sqlShape } from "./nodefony/src/profiler/aggregate.js";
 import { Profiler } from "./nodefony/src/profiler/Profiler.js";
 import HttpError from "./nodefony/src/errors/httpError.js";
 import { MemoryRateLimitStore } from "./nodefony/src/rateLimit/MemoryRateLimitStore.js";
@@ -19,15 +20,15 @@ import Http2Request from "./nodefony/src/context/http2/Request.js";
 import Http2Response from "./nodefony/src/context/http2/Response.js";
 import { SSE_HEARTBEAT_MS, SseStream, acceptsEventStream, openSseStream } from "./nodefony/src/context/http/SseStream.js";
 import HttpContext from "./nodefony/src/context/http/HttpContext.js";
-import DefaultErrorRenderer, { schemaMismatchOf } from "./nodefony/service/error-renderer.js";
-import DefaultRequestLogger from "./nodefony/service/request-logger.js";
+import DefaultErrorRenderer, { schemaMismatchOf, toValidationFields } from "./nodefony/service/error-renderer.js";
 import JsonAuditLogger from "./nodefony/service/audit-logger.js";
+import DefaultRequestLogger from "./nodefony/service/request-logger.js";
 import PrettyRequestLogger from "./nodefony/service/pretty-request-logger.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorate.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
 import http_kernel_default from "./nodefony/service/http-kernel.js";
 import server_http_default from "./nodefony/service/servers/server-http.js";
 import server_https_default from "./nodefony/service/servers/server-https.js";
+import server_h2c_default from "./nodefony/service/servers/server-h2c.js";
 import server_websocket_default from "./nodefony/service/servers/server-websocket.js";
 import server_websocket_secure_default from "./nodefony/service/servers/server-websocket-secure.js";
 import Statics from "./nodefony/service/servers/server-static.js";
@@ -41,9 +42,10 @@ import { SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQ
 import sessions_service_default from "./nodefony/service/sessions/sessions-service.js";
 import Certificate, { trustOutboundAuthorities } from "./nodefony/service/certificates.js";
 import upload_service_default from "./nodefony/service/upload/upload-service.js";
+import { isWebsocketContext } from "./nodefony/src/context/websocket/isWebsocketContext.js";
 import { PrebuiltUi, resolveUiDelivery } from "./nodefony/src/assets/prebuiltUi.js";
-import { Kernel, Module, services } from "nodefony";
-//#region index.ts
+import { Module, services } from "nodefony";
+// index.ts
 let Http = class Http extends Module {
 	overlaySchema = httpOverlaySchema;
 	constructor(kernel) {
@@ -75,7 +77,7 @@ let Http = class Http extends Module {
 		const input = this.options;
 		const options = defineHttpConfig(input ?? {}, this.kernel);
 		this.options = options;
-		await trustOutboundAuthorities(options.certificates.extraCaFiles, this.kernel?.path ?? process.cwd(), (message, severity) => this.log(message, severity));
+		await trustOutboundAuthorities(options.certificates.extraCaFiles, this.kernel?.path ?? process.cwd(), (message, severity) => this.log(message, severity), { development: this.kernel?.environment === "development" });
 		return this;
 	}
 	/**
@@ -107,10 +109,10 @@ Http = __decorate([services([
 	ReverseProxy,
 	server_http_default,
 	server_https_default,
+	server_h2c_default,
 	server_websocket_default,
 	server_websocket_secure_default,
 	upload_service_default
-]), __decorateMetadata("design:paramtypes", [typeof Kernel === "undefined" ? Object : Kernel])], Http);
+])], Http);
 var http_default = Http;
-//#endregion
-export { Context, Cookie, DefaultErrorRenderer, DefaultRequestLogger, FrameProfile, Http2Request, Http2Response, HttpContext, HttpError, http_kernel_default as HttpKernel, HttpRequest, HttpResponse, HttpResponse as Response, JsonAuditLogger, MemoryRateLimitStore, PrebuiltUi, PrettyRequestLogger, Profiler, ReverseProxy, SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS, SSE_HEARTBEAT_MS, Session, sessions_service_default as SessionsService, SseStream, WebsocketContext, WebsocketResponse, WebsocketResponse as wsResponse, acceptsEventStream, compileDomainPattern, compileDomainPatterns, compileTrustedHosts, decideSend, http_default as default, defineHttpConfig, httpConfigJsonSchema, httpConfigSchema, isDomainAllowed, normalizePrefix, openSseStream, parseProxyOrigin, proxyMountProblems, readBackpressureOptions, resolveUiDelivery, schemaMismatchOf };
+export { ACTION_SELF_PHASE, Context, Cookie, DefaultErrorRenderer, DefaultRequestLogger, FrameProfile, Http2Request, Http2Response, HttpContext, HttpError, http_kernel_default as HttpKernel, HttpRequest, HttpResponse, HttpResponse as Response, JsonAuditLogger, MemoryRateLimitStore, NO_ROUTE, N_PLUS_ONE_MIN_REPEATS, PrebuiltUi, PrettyRequestLogger, Profiler, ReverseProxy, SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS, SSE_HEARTBEAT_MS, Session, sessions_service_default as SessionsService, SseStream, TOOLING_URL_PREFIX, WebsocketContext, WebsocketResponse, WebsocketResponse as wsResponse, acceptsEventStream, aggregateProfiles, compileDomainPattern, compileDomainPatterns, compileTrustedHosts, createProfileAggregator, decideSend, http_default as default, defineHttpConfig, httpConfigJsonSchema, httpConfigSchema, isDomainAllowed, isFailedProfile, isWebsocketContext, normalizePrefix, openSseStream, parseProxyOrigin, proxyMountProblems, readBackpressureOptions, resolveUiDelivery, schemaMismatchOf, sqlShape, toValidationFields };

package/dist/nodefony/command/assetsPublishCommand.js

@@ -3,7 +3,7 @@ import { Command } from "nodefony";
 import { existsSync } from "node:fs";
 import fsp from "node:fs/promises";
 import { isAbsolute, join, resolve } from "node:path";
-//#region nodefony/command/assetsPublishCommand.ts
+// nodefony/command/assetsPublishCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -35,7 +35,10 @@ async function countFiles(dir) {
 */
 var AssetsPublish = class extends Command {
 	constructor(cli) {
-		super("assets:publish", "rassemble les fichiers statiques pour un CDN", cli, options);
+		super("assets:publish", "rassemble les fichiers statiques pour un CDN", cli, {
+			...options,
+			examples: ["nodefony assets:publish", "nodefony assets:publish --out dist-assets --clean"]
+		});
 		this.addOption("-o, --out <dir>", "output directory (default ./dist-assets)");
 		this.addOption("--clean", "remove the output directory first");
 		this.addOption("--json", "print a machine-readable summary");
@@ -96,5 +99,4 @@ var AssetsPublish = class extends Command {
 		return sources;
 	}
 };
-//#endregion
 export { AssetsPublish as default };

package/dist/nodefony/command/certificatesCommand.js

@@ -1,6 +1,6 @@
 import { Command } from "nodefony";
 import { inspect } from "node:util";
-//#region nodefony/command/certificatesCommand.ts
+// nodefony/command/certificatesCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -16,7 +16,10 @@ const options = {
 */
 var Certificates = class extends Command {
 	constructor(cli) {
-		super("http:certificates", "engendre ou inspecte le certificat TLS de dev", cli, options);
+		super("http:certificates", "engendre ou inspecte le certificat TLS de dev", cli, {
+			...options,
+			examples: ["nodefony http:certificates", "nodefony http:certificates --force"]
+		});
 		this.addOption("-f, --force", "regenerate even if a valid certificate already exists");
 		this.addOption("-j, --json", "output the certificate summary as JSON");
 	}
@@ -42,5 +45,4 @@ Requête vérifiée (NE PAS utiliser -k / rejectUnauthorized:false) :
 		return this;
 	}
 };
-//#endregion
 export { Certificates as default };

package/dist/nodefony/command/networkCommand.js

@@ -1,6 +1,6 @@
 import { Command } from "nodefony";
 import { inspect } from "node:util";
-//#region nodefony/command/networkCommand.ts
+// nodefony/command/networkCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -8,7 +8,10 @@ const options = {
 };
 var Network = class extends Command {
 	constructor(cli) {
-		super("http:network", "les interfaces réseau et adresses de cette machine", cli, options);
+		super("http:network", "les interfaces réseau et adresses de cette machine", cli, {
+			...options,
+			examples: ["nodefony http:network", "nodefony http:network eth0 --json"]
+		});
 		this.addArgument("[interface]", "Selection interface example eth0 ");
 		this.addOption("-j, --json", "get json");
 	}
@@ -23,5 +26,4 @@ var Network = class extends Command {
 		return this;
 	}
 };
-//#endregion
 export { Network as default };

package/dist/nodefony/command/proxyGenerateCommand.js

@@ -1,10 +1,11 @@
 import { resolveTrustedHostNames } from "../src/context/domainMatcher.js";
+import { asServersConfig, configuredServerPort } from "../src/servers/kernelServers.js";
 import { defaultIntrospection, generateHaproxyConfig, generateNginxConfig } from "../src/proxy/generateProxyConfig.js";
 import { planAssetPublish } from "../src/assets/collectAssets.js";
 import { Command } from "nodefony";
 import fsp from "node:fs/promises";
 import { isAbsolute, resolve } from "node:path";
-//#region nodefony/command/proxyGenerateCommand.ts
+// nodefony/command/proxyGenerateCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -18,7 +19,10 @@ const options = {
 */
 var ProxyGenerate = class extends Command {
 	constructor(cli) {
-		super("proxy:generate", "engendre une configuration nginx ou haproxy", cli, options);
+		super("proxy:generate", "engendre une configuration nginx ou haproxy", cli, {
+			...options,
+			examples: ["nodefony proxy:generate nginx", "nodefony proxy:generate haproxy --out haproxy.cfg"]
+		});
 		this.addArgument("<target>", "nginx | haproxy");
 		this.addOption("-o, --out <file>", "write to file instead of stdout");
 		this.addOption("-b, --backend <host>", "backend host the proxy connects to (default 127.0.0.1)");
@@ -67,12 +71,14 @@ var ProxyGenerate = class extends Command {
 			backendHost: opts.backend ?? "127.0.0.1",
 			httpPort: Number(servers?.http?.port) || defaultIntrospection.httpPort,
 			httpsPort: Number(servers?.https?.port) || defaultIntrospection.httpsPort,
+			h2cPort: configuredServerPort(asServersConfig(this.kernel?.options.servers), "h2c") ?? null,
 			staticRoots,
 			mounts,
 			listen: opts.listen ? Number(opts.listen) : defaultIntrospection.listen,
 			reencrypt: Boolean(opts.reencrypt),
 			maxBodyBytes: Number(httpOpts.maxBodySize) || 0,
 			keepaliveIntervalMs: Number(httpOpts.websocket?.keepaliveInterval) || 0,
+			readinessPath: httpOpts.health?.enabled === false ? null : httpOpts.health?.readinessPath ?? "/readyz",
 			tls: opts.tlsCert && opts.tlsKey ? {
 				certPath: opts.tlsCert,
 				keyPath: opts.tlsKey,
@@ -81,5 +87,4 @@ var ProxyGenerate = class extends Command {
 		};
 	}
 };
-//#endregion
 export { ProxyGenerate as default };

package/dist/nodefony/config/config.js

@@ -1,7 +1,7 @@
 import { normalizePrefix, proxyMountProblems } from "../src/proxy/rules.js";
 import { overlayField } from "nodefony";
 import { z } from "zod";
-//#region nodefony/config/config.ts
+// nodefony/config/config.ts
 /**
 * @nodefony/http — CONFIGURATION DU MODULE (schéma Zod = source unique).
 *
@@ -393,5 +393,4 @@ const httpOverlaySchema = z.strictObject({
 * valides par construction ; passés au `super(..., config)` du Module class.
 */
 const config = httpConfigSchema.parse({});
-//#endregion
 export { config as default, httpConfigSchema, httpOverlaySchema };

package/dist/nodefony/config/defineModuleConfig.js

@@ -1,7 +1,7 @@
 import { httpConfigSchema } from "./config.js";
 import { parseModuleConfig } from "nodefony";
 import { z } from "zod";
-//#region nodefony/config/defineModuleConfig.ts
+// nodefony/config/defineModuleConfig.ts
 /**
 * Injecte les défauts dérivés du kernel APRÈS le parse (le schéma reste pur).
 *
@@ -89,5 +89,4 @@ function defineHttpConfig(config = {}, kernel) {
 function httpConfigJsonSchema() {
 	return z.toJSONSchema(httpConfigSchema);
 }
-//#endregion
 export { defineHttpConfig, httpConfigJsonSchema };

package/dist/nodefony/service/HttpAdminApi.js

@@ -1,7 +1,7 @@
 import { SESSION_FACETS, SESSION_FILTERS, SESSION_STATS_FILTERS } from "../src/session/storage/sessionFilters.js";
 import { RATE_LIMIT_FILTERS } from "../src/rateLimit/rateLimitFilters.js";
 import { parseFilters, parsePageQuery } from "nodefony";
-//#region nodefony/service/HttpAdminApi.ts
+// nodefony/service/HttpAdminApi.ts
 /** Nom du service HttpKernel dans le container (source unique). */
 const HTTP_KERNEL_SERVICE = "HttpKernel";
 /**
@@ -62,6 +62,7 @@ function createHttpAdminApi(module) {
 	const serverServices = [
 		"server-http",
 		"server-https",
+		"server-h2c",
 		"server-websocket",
 		"server-websocket-secure",
 		"server-static"
@@ -371,5 +372,4 @@ function createHttpAdminApi(module) {
 		adminEndpoints: () => endpoints
 	};
 }
-//#endregion
 export { createHttpAdminApi };

package/dist/nodefony/service/ProfilerAdminApi.js

@@ -1,4 +1,4 @@
-//#region nodefony/service/ProfilerAdminApi.ts
+// nodefony/service/ProfilerAdminApi.ts
 /**
 * Producteur `IAdminApi` du **profiler** — exposé sous `/nodefony/profiler/api/*`.
 *
@@ -70,5 +70,4 @@ function createProfilerAdminApi(profiler) {
 		adminEndpoints: () => endpoints
 	};
 }
-//#endregion
 export { createProfilerAdminApi, createProfilerAdminApi as default };

package/dist/nodefony/service/audit-logger.js

@@ -1,5 +1,12 @@
+import { handshakeRefusalStatus } from "../src/context/websocket/WebsocketContext.js";
 import { performance } from "node:perf_hooks";
-//#region nodefony/service/audit-logger.ts
+// nodefony/service/audit-logger.ts
+const statusOf = (context) => {
+	return context.response?.statusCode ?? null;
+};
+const headersOf = (context) => {
+	return context.request?.headers ?? {};
+};
 /**
 * Durée totale de la requête, de la première phase (`startMs`) à maintenant.
 * `null` si le chronométrage est coupé (aucune phase enregistrée). Partagée
@@ -65,20 +72,20 @@ var JsonAuditLogger = class {
 		const ctx = context;
 		if (!this.nominalEnabled) {
 			if (error ?? ctx.error) return true;
-			const status = ctx.response?.statusCode ?? null;
+			const status = statusOf(ctx);
 			return status !== null && status >= 400;
 		}
 		if (this.sampleRate <= 1) return true;
 		if (error ?? ctx.error) return true;
-		const status = ctx.response?.statusCode ?? null;
+		const status = statusOf(ctx);
 		if (status !== null && status >= 400) return true;
 		this.sampleCounter = (this.sampleCounter + 1) % this.sampleRate;
 		return this.sampleCounter === 0;
 	}
 	renderHttp(context, error) {
 		const ctx = context;
-		const status = ctx.response?.statusCode ?? null;
-		const headers = ctx.request?.headers ?? {};
+		const status = statusOf(ctx);
+		const headers = headersOf(ctx);
 		const err = error ?? ctx.error ?? null;
 		const entry = {
 			ts: (/* @__PURE__ */ new Date()).toISOString(),
@@ -91,8 +98,8 @@ var JsonAuditLogger = class {
 			status,
 			durationMs: computeDurationMs(ctx.phases),
 			remoteAddress: ctx.remoteAddress ?? null,
-			host: ctx.getHost?.() ?? null,
-			userAgent: ctx.getUserAgent?.() ?? null,
+			host: ctx.getHost() ?? null,
+			userAgent: ctx.getUserAgent() ?? null,
 			hasAuthorization: Boolean(headers["authorization"]),
 			hasCookie: Boolean(headers["cookie"]),
 			phases: ctx.phases.length ? ctx.phases.map((p) => ({
@@ -109,8 +116,9 @@ var JsonAuditLogger = class {
 	}
 	renderWebsocket(context, error, acceptedProtocol) {
 		const ctx = context;
-		const status = ctx.response?.statusCode ?? null;
-		const headers = ctx.request?.headers ?? {};
+		const refused = error ? handshakeRefusalStatus(ctx, error) : null;
+		const status = refused ?? statusOf(ctx);
+		const headers = headersOf(ctx);
 		const entry = {
 			ts: (/* @__PURE__ */ new Date()).toISOString(),
 			requestId: ctx.requestId,
@@ -122,8 +130,8 @@ var JsonAuditLogger = class {
 			status,
 			durationMs: computeDurationMs(ctx.phases),
 			remoteAddress: ctx.remoteAddress ?? null,
-			host: ctx.getHost?.() ?? null,
-			userAgent: ctx.getUserAgent?.() ?? null,
+			host: ctx.getHost() ?? null,
+			userAgent: ctx.getUserAgent() ?? null,
 			hasAuthorization: Boolean(headers["authorization"]),
 			hasCookie: Boolean(headers["cookie"]),
 			phases: ctx.phases.length ? ctx.phases.map((p) => ({
@@ -135,7 +143,7 @@ var JsonAuditLogger = class {
 		};
 		return {
 			text: JSON.stringify(entry),
-			severity: error ? "ERROR" : "INFO",
+			severity: refused !== null ? severityFromStatus(refused) : error ? "ERROR" : "INFO",
 			msgid: "audit"
 		};
 	}
@@ -157,5 +165,4 @@ var JsonAuditLogger = class {
 		return entry;
 	}
 };
-//#endregion
 export { computeDurationMs, JsonAuditLogger as default, severityFromStatus };

package/dist/nodefony/service/certificates.js

@@ -7,7 +7,7 @@ import path, { resolve } from "node:path";
 import tls from "node:tls";
 import { promisify } from "node:util";
 import { execFile } from "node:child_process";
-//#region nodefony/service/certificates.ts
+// nodefony/service/certificates.ts
 const execFileAsync = promisify(execFile);
 const generateKeyPairAsync = promisify(generateKeyPair);
 /** Compare deux PEM sans dépendre des fins de ligne ni des espaces. */
@@ -66,12 +66,16 @@ function splitPemCertificates(pem) {
 *
 * @param file - chemin du fichier, absolu ou relatif à `root`
 * @param root - racine de l'application
+* Chaque refus dit le problème, d'où vient le chemin quand on le sait, puis le
+* geste qui répare ({@link caFileRemedy}).
+*
 * @param store - accès aux ancres ; `node:tls` par défaut
+* @param origin - phrase qui dit d'où vient le chemin (` Valeur venue de …`), insérée dans un refus
 * @returns le bilan de l'ajout
 * @throws BootConfigurationError - fichier illisible, sans certificat, ou Node
 *         incapable d'élargir ses ancres en cours d'exécution
 */
-async function trustCaFile(file, root, store = tls) {
+async function trustCaFile(file, root, store = tls, origin = "") {
 	const absolute = path.resolve(root, file);
 	let content;
 	try {
@@ -79,10 +83,10 @@ async function trustCaFile(file, root, store = tls) {
 	} catch (error) {
 		const code = error instanceof Error && "code" in error ? error.code : void 0;
 		const reason = typeof code === "string" ? code : error instanceof Error ? error.message : String(error);
-		throw new BootConfigurationError(`http.certificates.extraCaFiles : « ${absolute} » est illisible (${reason}).`);
+		throw new BootConfigurationError(`${unreadableProblem(absolute, reason)}${origin} ${caFileRemedy(reason)}`);
 	}
 	const certificates = splitPemCertificates(content);
-	if (certificates.length === 0) throw new BootConfigurationError(`http.certificates.extraCaFiles : « ${absolute} » ne contient aucun certificat PEM (-----BEGIN CERTIFICATE-----).`);
+	if (certificates.length === 0) throw new BootConfigurationError(`http.certificates.extraCaFiles : « ${absolute} » ne contient aucun certificat PEM (-----BEGIN CERTIFICATE-----).${origin} ${caFileRemedy("NOPEM")}`);
 	let added = 0;
 	let present = 0;
 	for (const pem of certificates) {
@@ -97,27 +101,107 @@ async function trustCaFile(file, root, store = tls) {
 		present
 	};
 }
+/** Première phrase d'un refus de lecture : le fichier et la cause en un mot. */
+function unreadableProblem(absolute, reason) {
+	return `http.certificates.extraCaFiles : « ${absolute} » est illisible (${reason}).`;
+}
+/**
+* Le geste qui répare une autorité déclarée qu'on ne peut pas reconnaître.
+*
+* Un refus au démarrage qui ne dit que la cause envoie chercher ; celui-ci dit
+* quoi faire. Pure : éprouvée cause par cause, y compris celles qu'une machine
+* de test ne sait pas produire (un droit refusé ne l'est pas à `root`, ni
+* sous Windows).
+*
+* @param cause - code système (`ENOENT`, `EACCES`, `EPERM`, `EISDIR`),
+*   `NOPEM` pour un fichier lu sans certificat, ou tout autre motif
+* @returns la phrase du geste
+*/
+function caFileRemedy(cause) {
+	switch (cause) {
+		case "ENOENT": return "Poser le fichier à ce chemin (absolu, ou relatif à la racine de l'application), ou retirer la déclaration.";
+		case "EACCES":
+		case "EPERM": return "Le compte qui lance l'application n'a pas le droit de le lire : lui donner ce droit (sous Kubernetes, monter le ConfigMap ou le Secret lisible par l'utilisateur du pod).";
+		case "EISDIR": return "C'est un dossier : désigner le fichier PEM qu'il contient.";
+		case "NOPEM": return "Le fichier doit porter le CERTIFICAT de l'autorité (pas sa clé privée), au format PEM ; un fichier DER se convertit par `openssl x509 -inform der -in autorite.der -out autorite.pem`.";
+		default: return "Vérifier le chemin et les droits du fichier, ou retirer la déclaration.";
+	}
+}
+/**
+* Dossier où Nodefony range les certificats qu'il fabrique en développement,
+* relatif au répertoire courant.
+*
+* @returns le chemin absolu de `nodefony/config/certificates`
+*/
+function certificatesDirectory() {
+	return resolve(".", "nodefony", "config", "certificates");
+}
+/**
+* Chemin de l'autorité de DÉVELOPPEMENT : le certificat racine que Nodefony
+* fabrique lui-même pour signer le certificat du serveur local. Généré, jamais
+* versionné — une seule convention, que le service et la confiance sortante lisent.
+*
+* @param directory - dossier des certificats ; {@link certificatesDirectory} par défaut
+* @returns le chemin absolu du fichier PEM de l'autorité
+*/
+function developmentAuthorityPath(directory = certificatesDirectory()) {
+	return resolve(directory, "ca", "nodefony-root-ca.crt.pem");
+}
+/** Vrai si le fichier n'existe pas (et seulement dans ce cas). */
+async function isMissing(file) {
+	try {
+		await fsp.stat(file);
+		return false;
+	} catch (error) {
+		return error instanceof Error && "code" in error && error.code === "ENOENT";
+	}
+}
 /**
 * Ajoute aux ancres TLS du processus les autorités déclarées
 * (`certificates.extraCaFiles`), au plus tôt : appelé à l'enregistrement du
 * module, avant tout service — toute requête sortante, commande console
 * comprise, les trouve en place.
 *
-* La CA de DÉVELOPPEMENT n'y figure pas : le service de certificats la pose
-* lui-même ({@link Certificate.generateServerCertificates}).
+* L'autorité de DÉVELOPPEMENT déclarée mais pas encore engendrée est ignorée en
+* développement, et le journal le dit : elle n'a signé aucun certificat, il n'y
+* a donc rien à lui faire confiance, et le serveur de développement la pose
+* lui-même quand il la fabrique ({@link Certificate.generateServerCertificates}).
+* Rien n'est fabriqué ici : une commande console n'écrit pas de certificat.
+* Une autre autorité absente, ou n'importe laquelle hors développement, reste
+* un refus — qui nomme la variable d'origine et le geste qui répare
+* ({@link caFileRemedy}).
 *
 * @param files - `certificates.extraCaFiles`
 * @param root - racine de l'application
 * @param log - journal du module
+* @param context - décor (environnement, autorité de dev, ancres)
 * @throws BootConfigurationError - cf {@link trustCaFile}
 */
-async function trustOutboundAuthorities(files, root, log) {
+async function trustOutboundAuthorities(files, root, log, context = {}) {
+	const developmentAuthority = context.developmentAuthority ?? developmentAuthorityPath();
 	for (const file of files) {
-		const trust = await trustCaFile(file, root);
+		const absolute = path.resolve(root, file);
+		const isDevelopmentAuthority = absolute === developmentAuthority;
+		if (isDevelopmentAuthority && context.development === true && await isMissing(absolute)) {
+			log(`autorité de développement ${absolute} pas encore engendrée : ignorée. Elle naît au premier \`npx nodefony development\` (ou \`npx nodefony http:certificates\`), et le serveur de développement lui fait alors confiance de lui-même.`, "INFO");
+			continue;
+		}
+		const origin = originOf(absolute, root, context.env ?? process.env);
+		if (isDevelopmentAuthority && await isMissing(absolute)) throw new BootConfigurationError(`${unreadableProblem(absolute, "ENOENT")}${origin} C'est l'autorité de DÉVELOPPEMENT : Nodefony la fabrique au premier \`npx nodefony development\`, jamais hors développement. Pour essayer la production sur ce poste, l'engendrer une fois (\`npx nodefony http:certificates\`) puis relancer ; sinon retirer la déclaration — une production réelle n'en a pas besoin.`);
+		const trust = await trustCaFile(file, root, context.store, origin);
 		log(`autorité sortante ${trust.file} : ${trust.added} ajoutée(s), ${trust.present} déjà présente(s)`, "INFO");
 	}
 }
 /**
+* Nomme la variable d'où vient le chemin, quand c'est `NF_TLS_CA_FILE` — la
+* déclaration que pose le gabarit d'application. Constaté sur la valeur, jamais
+* supposé : une configuration écrite à la main n'est pas attribuée à la variable.
+*/
+function originOf(absolute, root, env) {
+	const declared = env.NF_TLS_CA_FILE;
+	return declared && path.resolve(root, declared) === absolute ? " Valeur venue de NF_TLS_CA_FILE (`.env` ou environnement du processus)." : "";
+}
+/**
 * Vrai si `host` est une IP littérale (IPv4 `n.n.n.n` ou IPv6 — contient `:`).
 * Une IP doit aller en SAN `iPAddress`, jamais en `dNSName` (RFC 9525).
 */
@@ -166,9 +250,9 @@ var Certificate = class Certificate extends Service {
 	publicKeyPem = "";
 	/** CAROOT résolu de mkcert (null tant que non détecté / indisponible). */
 	mkcertCaRoot = null;
-	path = resolve(".", "nodefony", "config", "certificates");
+	path = certificatesDirectory();
 	serverPath = resolve(this.path, "server");
-	caPath = resolve(this.path, "ca", "nodefony-root-ca.crt.pem");
+	caPath = developmentAuthorityPath(this.path);
 	publicKeyPath = resolve(this.path, "server", "publickey.pem");
 	privateKeyPath = resolve(this.path, "server", "privkey.pem");
 	certPath = resolve(this.path, "server", "cert.pem");
@@ -480,7 +564,8 @@ var Certificate = class Certificate extends Service {
 		return Buffer.from(await fsp.readFile(value, "utf8"));
 	}
 	createFullChain() {
-		return this.cert?.toString().trim() ?? "";
+		const pem = this.cert?.toString().trim() ?? "";
+		return pem === "" ? "" : `${pem}\n`;
 	}
 	async readCerticates() {
 		for (const file of this.files) try {
@@ -634,5 +719,4 @@ var Certificate = class Certificate extends Service {
 		}
 	}
 };
-//#endregion
-export { addDefaultCaCertificate, Certificate as default, splitPemCertificates, trustCaFile, trustOutboundAuthorities };
+export { addDefaultCaCertificate, caFileRemedy, certificatesDirectory, Certificate as default, developmentAuthorityPath, splitPemCertificates, trustCaFile, trustOutboundAuthorities };

package/dist/nodefony/service/error-renderer.js

@@ -1,7 +1,7 @@
 import HttpError from "../src/errors/httpError.js";
 import { toWsCloseCode } from "../src/context/websocket/WebsocketContext.js";
 import { Nodefony, nodefonyError } from "nodefony";
-//#region nodefony/service/error-renderer.ts
+// nodefony/service/error-renderer.ts
 /** Une donnée rejetée par la validation n'est pas une requête malformée : 422, pas 400. */
 const VALIDATION_STATUS = 422;
 /**
@@ -74,8 +74,15 @@ const INTERNAL_ERROR_KEYS = [
 * deux tests — un gate qu'on ne peut plus voir mordre.
 */
 const isProduction = () => Nodefony.getKernel()?.environment === "production";
+/** Une propriété d'une anomalie de forme inconnue, lue sans rien supposer. */
+function readIssueProperty(issue, key) {
+	return typeof issue === "object" && issue !== null ? Reflect.get(issue, key) : void 0;
+}
+/** Erreurs de validation reconnues : Zod, et celle des routes à schéma (cœur). */
+const VALIDATION_ERROR_NAMES = /* @__PURE__ */ new Set(["ZodError", "SchemaValidationError"]);
 /**
-* Reconnaît une erreur de validation Zod et en extrait les champs fautifs.
+* Reconnaît une erreur de validation — `ZodError`, ou `SchemaValidationError`
+* d'une route à schéma — et en extrait les champs fautifs.
 *
 * Reconnaissance **structurelle** (`name` + `issues`), pas `instanceof ZodError` :
 * une application peut embarquer sa propre copie de zod (résolutions npm multiples),
@@ -88,13 +95,21 @@ const isProduction = () => Nodefony.getKernel()?.environment === "production";
 * @returns les champs fautifs, ou `null` si ce n'est pas une erreur de validation.
 */
 function toValidationFields(error) {
-	const candidate = error;
-	if (error.name !== "ZodError" || !Array.isArray(candidate.issues)) return null;
-	return candidate.issues.map((issue) => ({
-		field: Array.isArray(issue.path) ? issue.path.join(".") : "",
-		message: issue.message ?? "invalide",
-		rule: issue.code
-	}));
+	const issues = Reflect.get(error, "issues");
+	if (!VALIDATION_ERROR_NAMES.has(error.name) || !Array.isArray(issues)) return null;
+	return issues.map((issue) => {
+		const path = readIssueProperty(issue, "path");
+		const message = readIssueProperty(issue, "message");
+		const code = readIssueProperty(issue, "code");
+		const part = readIssueProperty(issue, "in");
+		const field = {
+			field: Array.isArray(path) ? path.map(String).join(".") : "",
+			message: typeof message === "string" ? message : "invalide",
+			rule: typeof code === "string" ? code : void 0
+		};
+		if (typeof part === "string") field.in = part;
+		return field;
+	});
 }
 /**
 * Construit l'erreur **422** exposée au client à partir des champs fautifs.
@@ -109,7 +124,10 @@ function toValidationFields(error) {
 * reçoit `error.fields` et sait QUEL champ corriger — pas seulement que « ça a échoué ».
 */
 function toValidationError(error, fields) {
-	const summary = fields.map((f) => f.field ? `${f.field}: ${f.message}` : f.message).join(" · ");
+	const summary = fields.map((f) => {
+		const where = f.in && f.field ? `${f.in}.${f.field}` : f.in || f.field;
+		return where ? `${where}: ${f.message}` : f.message;
+	}).join(" · ");
 	const validation = new nodefonyError(`Validation failed — ${summary}`, VALIDATION_STATUS);
 	if (error.stack !== void 0) validation.stack = error.stack;
 	validation.fields = fields;
@@ -429,5 +447,4 @@ var DefaultErrorRenderer = class {
 		return code;
 	}
 };
-//#endregion
-export { DefaultErrorRenderer as default, malformedIdentifierOf, schemaMismatchOf };
+export { DefaultErrorRenderer as default, malformedIdentifierOf, schemaMismatchOf, toValidationFields };