@nodefony/http 10.0.0-beta.3 → 10.0.0-beta.5

package/dist/_virtual/{_@oxc-project_runtime@0.153.0 → _@oxc-project_runtime@0.155.0}/helpers/esm/decorate.js

@@ -1,9 +1,8 @@
-//#region \0@oxc-project+runtime@0.153.0/helpers/esm/decorate.js
+// \0@oxc-project+runtime@0.155.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
 	else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
 	return c > 3 && r && Object.defineProperty(target, key, r), r;
 }
-//#endregion
 export { __decorate as default };

package/dist/_virtual/{_@oxc-project_runtime@0.153.0 → _@oxc-project_runtime@0.155.0}/helpers/esm/decorateParam.js

@@ -1,8 +1,7 @@
-//#region \0@oxc-project+runtime@0.153.0/helpers/esm/decorateParam.js
+// \0@oxc-project+runtime@0.155.0/helpers/esm/decorateParam.js
 function __decorateParam(paramIndex, decorator) {
 	return function(target, key) {
 		decorator(target, key, paramIndex);
 	};
 }
-//#endregion
 export { __decorateParam as default };

package/dist/index.js

@@ -2,11 +2,13 @@ import { normalizePrefix, parseProxyOrigin, proxyMountProblems } from "./nodefon
 import config, { httpConfigSchema, httpOverlaySchema } from "./nodefony/config/config.js";
 import { defineHttpConfig, httpConfigJsonSchema } from "./nodefony/config/defineModuleConfig.js";
 import { createHttpAdminApi } from "./nodefony/service/HttpAdminApi.js";
+import { ACTION_SELF_PHASE, NO_ROUTE, N_PLUS_ONE_MIN_REPEATS, TOOLING_URL_PREFIX, aggregateProfiles, createProfileAggregator, isFailedProfile, sqlShape } from "./nodefony/src/profiler/aggregate.js";
 import { createProfilerAdminApi } from "./nodefony/service/ProfilerAdminApi.js";
 import { Profiler } from "./nodefony/src/profiler/Profiler.js";
 import HttpError from "./nodefony/src/errors/httpError.js";
 import { MemoryRateLimitStore } from "./nodefony/src/rateLimit/MemoryRateLimitStore.js";
 import { compileDomainPattern, compileDomainPatterns, compileTrustedHosts, isDomainAllowed } from "./nodefony/src/context/domainMatcher.js";
+import { REQUEST_TRACE_CHANNEL } from "./nodefony/src/context/requestTrace.js";
 import Cookie from "./nodefony/src/cookies/cookie.js";
 import Context from "./nodefony/src/context/Context.js";
 import { decideSend, readBackpressureOptions } from "./nodefony/src/context/websocket/wsBackpressure.js";
@@ -19,15 +21,15 @@ import Http2Request from "./nodefony/src/context/http2/Request.js";
 import Http2Response from "./nodefony/src/context/http2/Response.js";
 import { SSE_HEARTBEAT_MS, SseStream, acceptsEventStream, openSseStream } from "./nodefony/src/context/http/SseStream.js";
 import HttpContext from "./nodefony/src/context/http/HttpContext.js";
-import DefaultErrorRenderer, { schemaMismatchOf } from "./nodefony/service/error-renderer.js";
-import DefaultRequestLogger from "./nodefony/service/request-logger.js";
+import DefaultErrorRenderer, { schemaMismatchOf, toValidationFields } from "./nodefony/service/error-renderer.js";
 import JsonAuditLogger from "./nodefony/service/audit-logger.js";
+import DefaultRequestLogger from "./nodefony/service/request-logger.js";
 import PrettyRequestLogger from "./nodefony/service/pretty-request-logger.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.153.0/helpers/esm/decorate.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
 import http_kernel_default from "./nodefony/service/http-kernel.js";
 import server_http_default from "./nodefony/service/servers/server-http.js";
 import server_https_default from "./nodefony/service/servers/server-https.js";
+import server_h2c_default from "./nodefony/service/servers/server-h2c.js";
 import server_websocket_default from "./nodefony/service/servers/server-websocket.js";
 import server_websocket_secure_default from "./nodefony/service/servers/server-websocket-secure.js";
 import Statics from "./nodefony/service/servers/server-static.js";
@@ -41,9 +43,10 @@ import { SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQ
 import sessions_service_default from "./nodefony/service/sessions/sessions-service.js";
 import Certificate, { trustOutboundAuthorities } from "./nodefony/service/certificates.js";
 import upload_service_default from "./nodefony/service/upload/upload-service.js";
+import { isWebsocketContext } from "./nodefony/src/context/websocket/isWebsocketContext.js";
 import { PrebuiltUi, resolveUiDelivery } from "./nodefony/src/assets/prebuiltUi.js";
-import { Kernel, Module, services } from "nodefony";
-//#region index.ts
+import { Module, services } from "nodefony";
+// index.ts
 let Http = class Http extends Module {
 	overlaySchema = httpOverlaySchema;
 	constructor(kernel) {
@@ -75,7 +78,7 @@ let Http = class Http extends Module {
 		const input = this.options;
 		const options = defineHttpConfig(input ?? {}, this.kernel);
 		this.options = options;
-		await trustOutboundAuthorities(options.certificates.extraCaFiles, this.kernel?.path ?? process.cwd(), (message, severity) => this.log(message, severity));
+		await trustOutboundAuthorities(options.certificates.extraCaFiles, this.kernel?.path ?? process.cwd(), (message, severity) => this.log(message, severity), { development: this.kernel?.environment === "development" });
 		return this;
 	}
 	/**
@@ -107,10 +110,10 @@ Http = __decorate([services([
 	ReverseProxy,
 	server_http_default,
 	server_https_default,
+	server_h2c_default,
 	server_websocket_default,
 	server_websocket_secure_default,
 	upload_service_default
-]), __decorateMetadata("design:paramtypes", [typeof Kernel === "undefined" ? Object : Kernel])], Http);
+])], Http);
 var http_default = Http;
-//#endregion
-export { Context, Cookie, DefaultErrorRenderer, DefaultRequestLogger, FrameProfile, Http2Request, Http2Response, HttpContext, HttpError, http_kernel_default as HttpKernel, HttpRequest, HttpResponse, HttpResponse as Response, JsonAuditLogger, MemoryRateLimitStore, PrebuiltUi, PrettyRequestLogger, Profiler, ReverseProxy, SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS, SSE_HEARTBEAT_MS, Session, sessions_service_default as SessionsService, SseStream, WebsocketContext, WebsocketResponse, WebsocketResponse as wsResponse, acceptsEventStream, compileDomainPattern, compileDomainPatterns, compileTrustedHosts, decideSend, http_default as default, defineHttpConfig, httpConfigJsonSchema, httpConfigSchema, isDomainAllowed, normalizePrefix, openSseStream, parseProxyOrigin, proxyMountProblems, readBackpressureOptions, resolveUiDelivery, schemaMismatchOf };
+export { ACTION_SELF_PHASE, Context, Cookie, DefaultErrorRenderer, DefaultRequestLogger, FrameProfile, Http2Request, Http2Response, HttpContext, HttpError, http_kernel_default as HttpKernel, HttpRequest, HttpResponse, HttpResponse as Response, JsonAuditLogger, MemoryRateLimitStore, NO_ROUTE, N_PLUS_ONE_MIN_REPEATS, PrebuiltUi, PrettyRequestLogger, Profiler, REQUEST_TRACE_CHANNEL, ReverseProxy, SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS, SSE_HEARTBEAT_MS, Session, sessions_service_default as SessionsService, SseStream, TOOLING_URL_PREFIX, WebsocketContext, WebsocketResponse, WebsocketResponse as wsResponse, acceptsEventStream, aggregateProfiles, compileDomainPattern, compileDomainPatterns, compileTrustedHosts, createProfileAggregator, decideSend, http_default as default, defineHttpConfig, httpConfigJsonSchema, httpConfigSchema, isDomainAllowed, isFailedProfile, isWebsocketContext, normalizePrefix, openSseStream, parseProxyOrigin, proxyMountProblems, readBackpressureOptions, resolveUiDelivery, schemaMismatchOf, sqlShape, toValidationFields };

package/dist/nodefony/command/assetsPublishCommand.js

@@ -3,7 +3,7 @@ import { Command } from "nodefony";
 import { existsSync } from "node:fs";
 import fsp from "node:fs/promises";
 import { isAbsolute, join, resolve } from "node:path";
-//#region nodefony/command/assetsPublishCommand.ts
+// nodefony/command/assetsPublishCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -35,7 +35,10 @@ async function countFiles(dir) {
 */
 var AssetsPublish = class extends Command {
 	constructor(cli) {
-		super("assets:publish", "rassemble les fichiers statiques pour un CDN", cli, options);
+		super("assets:publish", "rassemble les fichiers statiques pour un CDN", cli, {
+			...options,
+			examples: ["nodefony assets:publish", "nodefony assets:publish --out dist-assets --clean"]
+		});
 		this.addOption("-o, --out <dir>", "output directory (default ./dist-assets)");
 		this.addOption("--clean", "remove the output directory first");
 		this.addOption("--json", "print a machine-readable summary");
@@ -96,5 +99,4 @@ var AssetsPublish = class extends Command {
 		return sources;
 	}
 };
-//#endregion
 export { AssetsPublish as default };

package/dist/nodefony/command/certificatesCommand.js

@@ -1,6 +1,6 @@
 import { Command } from "nodefony";
 import { inspect } from "node:util";
-//#region nodefony/command/certificatesCommand.ts
+// nodefony/command/certificatesCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -16,7 +16,10 @@ const options = {
 */
 var Certificates = class extends Command {
 	constructor(cli) {
-		super("http:certificates", "engendre ou inspecte le certificat TLS de dev", cli, options);
+		super("http:certificates", "engendre ou inspecte le certificat TLS de dev", cli, {
+			...options,
+			examples: ["nodefony http:certificates", "nodefony http:certificates --force"]
+		});
 		this.addOption("-f, --force", "regenerate even if a valid certificate already exists");
 		this.addOption("-j, --json", "output the certificate summary as JSON");
 	}
@@ -42,5 +45,4 @@ Requête vérifiée (NE PAS utiliser -k / rejectUnauthorized:false) :
 		return this;
 	}
 };
-//#endregion
 export { Certificates as default };

package/dist/nodefony/command/networkCommand.js

@@ -1,6 +1,6 @@
 import { Command } from "nodefony";
 import { inspect } from "node:util";
-//#region nodefony/command/networkCommand.ts
+// nodefony/command/networkCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -8,7 +8,10 @@ const options = {
 };
 var Network = class extends Command {
 	constructor(cli) {
-		super("http:network", "les interfaces réseau et adresses de cette machine", cli, options);
+		super("http:network", "les interfaces réseau et adresses de cette machine", cli, {
+			...options,
+			examples: ["nodefony http:network", "nodefony http:network eth0 --json"]
+		});
 		this.addArgument("[interface]", "Selection interface example eth0 ");
 		this.addOption("-j, --json", "get json");
 	}
@@ -23,5 +26,4 @@ var Network = class extends Command {
 		return this;
 	}
 };
-//#endregion
 export { Network as default };

package/dist/nodefony/command/proxyGenerateCommand.js

@@ -1,10 +1,11 @@
 import { resolveTrustedHostNames } from "../src/context/domainMatcher.js";
+import { asServersConfig, configuredServerPort } from "../src/servers/kernelServers.js";
 import { defaultIntrospection, generateHaproxyConfig, generateNginxConfig } from "../src/proxy/generateProxyConfig.js";
 import { planAssetPublish } from "../src/assets/collectAssets.js";
 import { Command } from "nodefony";
 import fsp from "node:fs/promises";
 import { isAbsolute, resolve } from "node:path";
-//#region nodefony/command/proxyGenerateCommand.ts
+// nodefony/command/proxyGenerateCommand.ts
 const options = {
 	helpGroup: "FRONT ET RÉSEAU",
 	showBanner: false,
@@ -18,7 +19,10 @@ const options = {
 */
 var ProxyGenerate = class extends Command {
 	constructor(cli) {
-		super("proxy:generate", "engendre une configuration nginx ou haproxy", cli, options);
+		super("proxy:generate", "engendre une configuration nginx ou haproxy", cli, {
+			...options,
+			examples: ["nodefony proxy:generate nginx", "nodefony proxy:generate haproxy --out haproxy.cfg"]
+		});
 		this.addArgument("<target>", "nginx | haproxy");
 		this.addOption("-o, --out <file>", "write to file instead of stdout");
 		this.addOption("-b, --backend <host>", "backend host the proxy connects to (default 127.0.0.1)");
@@ -67,12 +71,14 @@ var ProxyGenerate = class extends Command {
 			backendHost: opts.backend ?? "127.0.0.1",
 			httpPort: Number(servers?.http?.port) || defaultIntrospection.httpPort,
 			httpsPort: Number(servers?.https?.port) || defaultIntrospection.httpsPort,
+			h2cPort: configuredServerPort(asServersConfig(this.kernel?.options.servers), "h2c") ?? null,
 			staticRoots,
 			mounts,
 			listen: opts.listen ? Number(opts.listen) : defaultIntrospection.listen,
 			reencrypt: Boolean(opts.reencrypt),
 			maxBodyBytes: Number(httpOpts.maxBodySize) || 0,
 			keepaliveIntervalMs: Number(httpOpts.websocket?.keepaliveInterval) || 0,
+			readinessPath: httpOpts.health?.enabled === false ? null : httpOpts.health?.readinessPath ?? "/readyz",
 			tls: opts.tlsCert && opts.tlsKey ? {
 				certPath: opts.tlsCert,
 				keyPath: opts.tlsKey,
@@ -81,5 +87,4 @@ var ProxyGenerate = class extends Command {
 		};
 	}
 };
-//#endregion
 export { ProxyGenerate as default };

package/dist/nodefony/config/config.js

@@ -1,7 +1,7 @@
 import { normalizePrefix, proxyMountProblems } from "../src/proxy/rules.js";
 import { overlayField } from "nodefony";
 import { z } from "zod";
-//#region nodefony/config/config.ts
+// nodefony/config/config.ts
 /**
 * @nodefony/http — CONFIGURATION DU MODULE (schéma Zod = source unique).
 *
@@ -297,7 +297,8 @@ const proxyMountSchema = z.strictObject({
 	preserveHost: z.boolean().default(false).describe("Transmet le `Host` du client au lieu de celui de la cible. Défaut false : l'amont reçoit son propre nom (ce qu'attend un serveur qui filtre les noms d'hôte), le nom d'origine part en `X-Forwarded-Host`."),
 	stripHeaders: z.array(z.string()).default([]).describe("En-têtes de requête à ne PAS transmettre (ex. `[\"cookie\", \"authorization\"]` vers un amont qui n'a pas à voir la session). Les en-têtes de connexion (RFC 9110 §7.6.1) ne le sont jamais."),
 	timeoutMs: z.number().optional().describe("Délai d'inactivité avec l'amont (ms) — dépassé avant la réponse (ou avant le `101` d'un upgrade WebSocket) : 504. Absent = `proxy.timeoutMs`. Ne s'applique pas à un WebSocket établi."),
-	secure: z.boolean().default(true).describe("Vérifie le certificat d'une cible https. `false` n'est accepté que vers la boucle locale (`127.0.0.0/8`, `localhost`, `::1`) ; ailleurs, fournir l'autorité de l'amont (`certificates.extraCaFiles`, ou `NODE_EXTRA_CA_CERTS`).")
+	secure: z.boolean().default(true).describe("Vérifie le certificat d'une cible https. `false` n'est accepté que vers la boucle locale (`127.0.0.0/8`, `localhost`, `::1`) ; ailleurs, fournir l'autorité de l'amont (`certificates.extraCaFiles`, ou `NODE_EXTRA_CA_CERTS`)."),
+	accessLog: z.enum(["all", "errors"]).default("all").describe("Ligne d'accès des requêtes relayées : `all` (défaut) les écrit toutes, `errors` seulement celles en échec (statut ≥ 400) — pour un amont qui sert beaucoup de petits fichiers.")
 }).describe("Un montage du proxy inverse : un préfixe d'URL relayé vers un amont.");
 const proxySchema = z.strictObject({
 	timeoutMs: z.number().int().positive().default(3e4).describe("Délai d'inactivité par défaut de tous les montages (ms) : un amont muet au-delà rend 504 Gateway Timeout. Défaut 30 s."),
@@ -393,5 +394,4 @@ const httpOverlaySchema = z.strictObject({
 * valides par construction ; passés au `super(..., config)` du Module class.
 */
 const config = httpConfigSchema.parse({});
-//#endregion
 export { config as default, httpConfigSchema, httpOverlaySchema };

package/dist/nodefony/config/defineModuleConfig.js

@@ -1,7 +1,7 @@
 import { httpConfigSchema } from "./config.js";
 import { parseModuleConfig } from "nodefony";
 import { z } from "zod";
-//#region nodefony/config/defineModuleConfig.ts
+// nodefony/config/defineModuleConfig.ts
 /**
 * Injecte les défauts dérivés du kernel APRÈS le parse (le schéma reste pur).
 *
@@ -89,5 +89,4 @@ function defineHttpConfig(config = {}, kernel) {
 function httpConfigJsonSchema() {
 	return z.toJSONSchema(httpConfigSchema);
 }
-//#endregion
 export { defineHttpConfig, httpConfigJsonSchema };

package/dist/nodefony/interfaces/IRequestTrace.js

@@ -0,0 +1 @@
+export {};

package/dist/nodefony/service/HttpAdminApi.js

@@ -1,7 +1,7 @@
 import { SESSION_FACETS, SESSION_FILTERS, SESSION_STATS_FILTERS } from "../src/session/storage/sessionFilters.js";
 import { RATE_LIMIT_FILTERS } from "../src/rateLimit/rateLimitFilters.js";
 import { parseFilters, parsePageQuery } from "nodefony";
-//#region nodefony/service/HttpAdminApi.ts
+// nodefony/service/HttpAdminApi.ts
 /** Nom du service HttpKernel dans le container (source unique). */
 const HTTP_KERNEL_SERVICE = "HttpKernel";
 /**
@@ -62,6 +62,7 @@ function createHttpAdminApi(module) {
 	const serverServices = [
 		"server-http",
 		"server-https",
+		"server-h2c",
 		"server-websocket",
 		"server-websocket-secure",
 		"server-static"
@@ -371,5 +372,4 @@ function createHttpAdminApi(module) {
 		adminEndpoints: () => endpoints
 	};
 }
-//#endregion
 export { createHttpAdminApi };

package/dist/nodefony/service/ProfilerAdminApi.js

@@ -1,4 +1,5 @@
-//#region nodefony/service/ProfilerAdminApi.ts
+import { aggregateProfiles } from "../src/profiler/aggregate.js";
+// nodefony/service/ProfilerAdminApi.ts
 /**
 * Producteur `IAdminApi` du **profiler** — exposé sous `/nodefony/profiler/api/*`.
 *
@@ -9,6 +10,9 @@
 *
 * Endpoints :
 *  - `GET /nodefony/profiler/api/recent`  → derniers profils (résumés, récent → ancien)
+*    `?connection=<requestId>` : les seules frames de cette socket WebSocket
+*  - `GET /nodefony/profiler/api/summary` → les profils de l'anneau agrégés par
+*    route (percentiles, phases, formes SQL, N+1, erreurs — `aggregateProfiles`)
 *  - `GET /nodefony/profiler/api/{id}`    → profil complet (phases) d'un requestId
 *  - `DELETE /nodefony/profiler/api/recent` → vide le ring buffer
 *
@@ -32,9 +36,11 @@ function createProfilerAdminApi(profiler) {
 				const raw = query.limit;
 				const n = typeof raw === "string" ? parseInt(raw, 10) : NaN;
 				const limit = Number.isFinite(n) && n > 0 ? Math.min(n, 200) : 60;
+				const of = query.connection;
+				const connection = typeof of === "string" && of.length > 0 && of.length <= 200 ? of : void 0;
 				return {
 					count: profiler.size,
-					entries: profiler.recent(limit)
+					entries: profiler.recent(limit, connection)
 				};
 			}
 		},
@@ -47,6 +53,11 @@ function createProfilerAdminApi(profiler) {
 				return { cleared: true };
 			}
 		},
+		{
+			path: "summary",
+			summary: "Profiles aggregated by route: percentiles, SQL, N+1, errors",
+			handler: () => aggregateProfiles(profiler.since(0).entries)
+		},
 		{
 			path: "{id}",
 			summary: "Full profile (phase timeline) for a requestId",
@@ -70,5 +81,4 @@ function createProfilerAdminApi(profiler) {
 		adminEndpoints: () => endpoints
 	};
 }
-//#endregion
 export { createProfilerAdminApi, createProfilerAdminApi as default };

package/dist/nodefony/service/audit-logger.js

@@ -1,18 +1,11 @@
-import { performance } from "node:perf_hooks";
-//#region nodefony/service/audit-logger.ts
-/**
-* Durée totale de la requête, de la première phase (`startMs`) à maintenant.
-* `null` si le chronométrage est coupé (aucune phase enregistrée). Partagée
-* par le journal d'audit et le journal lisible — une seule définition.
-*
-* @param phases - phases chronométrées du contexte
-* @returns durée en millisecondes, ou `null`
-*/
-function computeDurationMs(phases) {
-	const first = phases.at(0);
-	if (first === void 0 || typeof first.startMs !== "number") return null;
-	return performance.now() - first.startMs;
-}
+import { handshakeRefusalStatus } from "../src/context/websocket/WebsocketContext.js";
+// nodefony/service/audit-logger.ts
+const statusOf = (context) => {
+	return context.response?.statusCode ?? null;
+};
+const headersOf = (context) => {
+	return context.request?.headers ?? {};
+};
 /**
 * Severity derived from HTTP status code — RFC 9110 categories.
 * 1xx/2xx/3xx → INFO ; 4xx → WARNING ; 5xx → ERROR.
@@ -65,20 +58,20 @@ var JsonAuditLogger = class {
 		const ctx = context;
 		if (!this.nominalEnabled) {
 			if (error ?? ctx.error) return true;
-			const status = ctx.response?.statusCode ?? null;
+			const status = statusOf(ctx);
 			return status !== null && status >= 400;
 		}
 		if (this.sampleRate <= 1) return true;
 		if (error ?? ctx.error) return true;
-		const status = ctx.response?.statusCode ?? null;
+		const status = statusOf(ctx);
 		if (status !== null && status >= 400) return true;
 		this.sampleCounter = (this.sampleCounter + 1) % this.sampleRate;
 		return this.sampleCounter === 0;
 	}
 	renderHttp(context, error) {
 		const ctx = context;
-		const status = ctx.response?.statusCode ?? null;
-		const headers = ctx.request?.headers ?? {};
+		const status = statusOf(ctx);
+		const headers = headersOf(ctx);
 		const err = error ?? ctx.error ?? null;
 		const entry = {
 			ts: (/* @__PURE__ */ new Date()).toISOString(),
@@ -89,10 +82,10 @@ var JsonAuditLogger = class {
 			method: ctx.method,
 			url: ctx.url,
 			status,
-			durationMs: computeDurationMs(ctx.phases),
+			durationMs: ctx.stopClock(),
 			remoteAddress: ctx.remoteAddress ?? null,
-			host: ctx.getHost?.() ?? null,
-			userAgent: ctx.getUserAgent?.() ?? null,
+			host: ctx.getHost() ?? null,
+			userAgent: ctx.getUserAgent() ?? null,
 			hasAuthorization: Boolean(headers["authorization"]),
 			hasCookie: Boolean(headers["cookie"]),
 			phases: ctx.phases.length ? ctx.phases.map((p) => ({
@@ -109,8 +102,9 @@ var JsonAuditLogger = class {
 	}
 	renderWebsocket(context, error, acceptedProtocol) {
 		const ctx = context;
-		const status = ctx.response?.statusCode ?? null;
-		const headers = ctx.request?.headers ?? {};
+		const refused = error ? handshakeRefusalStatus(ctx, error) : null;
+		const status = refused ?? statusOf(ctx);
+		const headers = headersOf(ctx);
 		const entry = {
 			ts: (/* @__PURE__ */ new Date()).toISOString(),
 			requestId: ctx.requestId,
@@ -120,10 +114,10 @@ var JsonAuditLogger = class {
 			method: ctx.method,
 			url: ctx.url,
 			status,
-			durationMs: computeDurationMs(ctx.phases),
+			durationMs: ctx.stopClock(),
 			remoteAddress: ctx.remoteAddress ?? null,
-			host: ctx.getHost?.() ?? null,
-			userAgent: ctx.getUserAgent?.() ?? null,
+			host: ctx.getHost() ?? null,
+			userAgent: ctx.getUserAgent() ?? null,
 			hasAuthorization: Boolean(headers["authorization"]),
 			hasCookie: Boolean(headers["cookie"]),
 			phases: ctx.phases.length ? ctx.phases.map((p) => ({
@@ -135,7 +129,7 @@ var JsonAuditLogger = class {
 		};
 		return {
 			text: JSON.stringify(entry),
-			severity: error ? "ERROR" : "INFO",
+			severity: refused !== null ? severityFromStatus(refused) : error ? "ERROR" : "INFO",
 			msgid: "audit"
 		};
 	}
@@ -157,5 +151,4 @@ var JsonAuditLogger = class {
 		return entry;
 	}
 };
-//#endregion
-export { computeDurationMs, JsonAuditLogger as default, severityFromStatus };
+export { JsonAuditLogger as default, severityFromStatus, statusOf };

package/dist/nodefony/service/certificates.js

@@ -7,7 +7,7 @@ import path, { resolve } from "node:path";
 import tls from "node:tls";
 import { promisify } from "node:util";
 import { execFile } from "node:child_process";
-//#region nodefony/service/certificates.ts
+// nodefony/service/certificates.ts
 const execFileAsync = promisify(execFile);
 const generateKeyPairAsync = promisify(generateKeyPair);
 /** Compare deux PEM sans dépendre des fins de ligne ni des espaces. */
@@ -66,12 +66,16 @@ function splitPemCertificates(pem) {
 *
 * @param file - chemin du fichier, absolu ou relatif à `root`
 * @param root - racine de l'application
+* Chaque refus dit le problème, d'où vient le chemin quand on le sait, puis le
+* geste qui répare ({@link caFileRemedy}).
+*
 * @param store - accès aux ancres ; `node:tls` par défaut
+* @param origin - phrase qui dit d'où vient le chemin (` Valeur venue de …`), insérée dans un refus
 * @returns le bilan de l'ajout
 * @throws BootConfigurationError - fichier illisible, sans certificat, ou Node
 *         incapable d'élargir ses ancres en cours d'exécution
 */
-async function trustCaFile(file, root, store = tls) {
+async function trustCaFile(file, root, store = tls, origin = "") {
 	const absolute = path.resolve(root, file);
 	let content;
 	try {
@@ -79,10 +83,10 @@ async function trustCaFile(file, root, store = tls) {
 	} catch (error) {
 		const code = error instanceof Error && "code" in error ? error.code : void 0;
 		const reason = typeof code === "string" ? code : error instanceof Error ? error.message : String(error);
-		throw new BootConfigurationError(`http.certificates.extraCaFiles : « ${absolute} » est illisible (${reason}).`);
+		throw new BootConfigurationError(`${unreadableProblem(absolute, reason)}${origin} ${caFileRemedy(reason)}`);
 	}
 	const certificates = splitPemCertificates(content);
-	if (certificates.length === 0) throw new BootConfigurationError(`http.certificates.extraCaFiles : « ${absolute} » ne contient aucun certificat PEM (-----BEGIN CERTIFICATE-----).`);
+	if (certificates.length === 0) throw new BootConfigurationError(`http.certificates.extraCaFiles : « ${absolute} » ne contient aucun certificat PEM (-----BEGIN CERTIFICATE-----).${origin} ${caFileRemedy("NOPEM")}`);
 	let added = 0;
 	let present = 0;
 	for (const pem of certificates) {
@@ -97,27 +101,107 @@ async function trustCaFile(file, root, store = tls) {
 		present
 	};
 }
+/** Première phrase d'un refus de lecture : le fichier et la cause en un mot. */
+function unreadableProblem(absolute, reason) {
+	return `http.certificates.extraCaFiles : « ${absolute} » est illisible (${reason}).`;
+}
+/**
+* Le geste qui répare une autorité déclarée qu'on ne peut pas reconnaître.
+*
+* Un refus au démarrage qui ne dit que la cause envoie chercher ; celui-ci dit
+* quoi faire. Pure : éprouvée cause par cause, y compris celles qu'une machine
+* de test ne sait pas produire (un droit refusé ne l'est pas à `root`, ni
+* sous Windows).
+*
+* @param cause - code système (`ENOENT`, `EACCES`, `EPERM`, `EISDIR`),
+*   `NOPEM` pour un fichier lu sans certificat, ou tout autre motif
+* @returns la phrase du geste
+*/
+function caFileRemedy(cause) {
+	switch (cause) {
+		case "ENOENT": return "Poser le fichier à ce chemin (absolu, ou relatif à la racine de l'application), ou retirer la déclaration.";
+		case "EACCES":
+		case "EPERM": return "Le compte qui lance l'application n'a pas le droit de le lire : lui donner ce droit (sous Kubernetes, monter le ConfigMap ou le Secret lisible par l'utilisateur du pod).";
+		case "EISDIR": return "C'est un dossier : désigner le fichier PEM qu'il contient.";
+		case "NOPEM": return "Le fichier doit porter le CERTIFICAT de l'autorité (pas sa clé privée), au format PEM ; un fichier DER se convertit par `openssl x509 -inform der -in autorite.der -out autorite.pem`.";
+		default: return "Vérifier le chemin et les droits du fichier, ou retirer la déclaration.";
+	}
+}
+/**
+* Dossier où Nodefony range les certificats qu'il fabrique en développement,
+* relatif au répertoire courant.
+*
+* @returns le chemin absolu de `nodefony/config/certificates`
+*/
+function certificatesDirectory() {
+	return resolve(".", "nodefony", "config", "certificates");
+}
+/**
+* Chemin de l'autorité de DÉVELOPPEMENT : le certificat racine que Nodefony
+* fabrique lui-même pour signer le certificat du serveur local. Généré, jamais
+* versionné — une seule convention, que le service et la confiance sortante lisent.
+*
+* @param directory - dossier des certificats ; {@link certificatesDirectory} par défaut
+* @returns le chemin absolu du fichier PEM de l'autorité
+*/
+function developmentAuthorityPath(directory = certificatesDirectory()) {
+	return resolve(directory, "ca", "nodefony-root-ca.crt.pem");
+}
+/** Vrai si le fichier n'existe pas (et seulement dans ce cas). */
+async function isMissing(file) {
+	try {
+		await fsp.stat(file);
+		return false;
+	} catch (error) {
+		return error instanceof Error && "code" in error && error.code === "ENOENT";
+	}
+}
 /**
 * Ajoute aux ancres TLS du processus les autorités déclarées
 * (`certificates.extraCaFiles`), au plus tôt : appelé à l'enregistrement du
 * module, avant tout service — toute requête sortante, commande console
 * comprise, les trouve en place.
 *
-* La CA de DÉVELOPPEMENT n'y figure pas : le service de certificats la pose
-* lui-même ({@link Certificate.generateServerCertificates}).
+* L'autorité de DÉVELOPPEMENT déclarée mais pas encore engendrée est ignorée en
+* développement, et le journal le dit : elle n'a signé aucun certificat, il n'y
+* a donc rien à lui faire confiance, et le serveur de développement la pose
+* lui-même quand il la fabrique ({@link Certificate.generateServerCertificates}).
+* Rien n'est fabriqué ici : une commande console n'écrit pas de certificat.
+* Une autre autorité absente, ou n'importe laquelle hors développement, reste
+* un refus — qui nomme la variable d'origine et le geste qui répare
+* ({@link caFileRemedy}).
 *
 * @param files - `certificates.extraCaFiles`
 * @param root - racine de l'application
 * @param log - journal du module
+* @param context - décor (environnement, autorité de dev, ancres)
 * @throws BootConfigurationError - cf {@link trustCaFile}
 */
-async function trustOutboundAuthorities(files, root, log) {
+async function trustOutboundAuthorities(files, root, log, context = {}) {
+	const developmentAuthority = context.developmentAuthority ?? developmentAuthorityPath();
 	for (const file of files) {
-		const trust = await trustCaFile(file, root);
+		const absolute = path.resolve(root, file);
+		const isDevelopmentAuthority = absolute === developmentAuthority;
+		if (isDevelopmentAuthority && context.development === true && await isMissing(absolute)) {
+			log(`autorité de développement ${absolute} pas encore engendrée : ignorée. Elle naît au premier \`npx nodefony development\` (ou \`npx nodefony http:certificates\`), et le serveur de développement lui fait alors confiance de lui-même.`, "INFO");
+			continue;
+		}
+		const origin = originOf(absolute, root, context.env ?? process.env);
+		if (isDevelopmentAuthority && await isMissing(absolute)) throw new BootConfigurationError(`${unreadableProblem(absolute, "ENOENT")}${origin} C'est l'autorité de DÉVELOPPEMENT : Nodefony la fabrique au premier \`npx nodefony development\`, jamais hors développement. Pour essayer la production sur ce poste, l'engendrer une fois (\`npx nodefony http:certificates\`) puis relancer ; sinon retirer la déclaration — une production réelle n'en a pas besoin.`);
+		const trust = await trustCaFile(file, root, context.store, origin);
 		log(`autorité sortante ${trust.file} : ${trust.added} ajoutée(s), ${trust.present} déjà présente(s)`, "INFO");
 	}
 }
 /**
+* Nomme la variable d'où vient le chemin, quand c'est `NF_TLS_CA_FILE` — la
+* déclaration que pose le gabarit d'application. Constaté sur la valeur, jamais
+* supposé : une configuration écrite à la main n'est pas attribuée à la variable.
+*/
+function originOf(absolute, root, env) {
+	const declared = env.NF_TLS_CA_FILE;
+	return declared && path.resolve(root, declared) === absolute ? " Valeur venue de NF_TLS_CA_FILE (`.env` ou environnement du processus)." : "";
+}
+/**
 * Vrai si `host` est une IP littérale (IPv4 `n.n.n.n` ou IPv6 — contient `:`).
 * Une IP doit aller en SAN `iPAddress`, jamais en `dNSName` (RFC 9525).
 */
@@ -166,9 +250,9 @@ var Certificate = class Certificate extends Service {
 	publicKeyPem = "";
 	/** CAROOT résolu de mkcert (null tant que non détecté / indisponible). */
 	mkcertCaRoot = null;
-	path = resolve(".", "nodefony", "config", "certificates");
+	path = certificatesDirectory();
 	serverPath = resolve(this.path, "server");
-	caPath = resolve(this.path, "ca", "nodefony-root-ca.crt.pem");
+	caPath = developmentAuthorityPath(this.path);
 	publicKeyPath = resolve(this.path, "server", "publickey.pem");
 	privateKeyPath = resolve(this.path, "server", "privkey.pem");
 	certPath = resolve(this.path, "server", "cert.pem");
@@ -480,7 +564,8 @@ var Certificate = class Certificate extends Service {
 		return Buffer.from(await fsp.readFile(value, "utf8"));
 	}
 	createFullChain() {
-		return this.cert?.toString().trim() ?? "";
+		const pem = this.cert?.toString().trim() ?? "";
+		return pem === "" ? "" : `${pem}\n`;
 	}
 	async readCerticates() {
 		for (const file of this.files) try {
@@ -634,5 +719,4 @@ var Certificate = class Certificate extends Service {
 		}
 	}
 };
-//#endregion
-export { addDefaultCaCertificate, Certificate as default, splitPemCertificates, trustCaFile, trustOutboundAuthorities };
+export { addDefaultCaCertificate, caFileRemedy, certificatesDirectory, Certificate as default, developmentAuthorityPath, splitPemCertificates, trustCaFile, trustOutboundAuthorities };