@nodefony/http 10.0.0-beta.5 → 10.0.0-beta.6

package/README.md

@@ -43,6 +43,30 @@ Le serveur le pose dans le contexte asynchrone de la requête : `RequestContext.
 depuis n'importe quel code, et les services `@injectable({ scope: "request" })` y vivent. Détail :
 [Injection & portées](https://github.com/nodefony/nodefony-core/blob/main/docs/architecture/injection-portees.md).
 
+## Réponses en flux
+
+Deux formats de réponse qui ne finissent pas d'un coup, en HTTP/1.1 comme en HTTP/2, sur le même
+cycle de vie (réponse prise, session sauvée avant les en-têtes, départ du client vu sur la réponse,
+plafond par IP, révocation, coupure d'un client qui ne lit plus) :
+
+| Besoin                                                     | Contrôleur               | Contexte                  | Page                                   |
+| ---------------------------------------------------------- | ------------------------ | ------------------------- | -------------------------------------- |
+| Pousser des **événements texte** lus par `EventSource`     | `this.renderSse()`       | `context.openSse()`       | [Flux SSE](./docs/sse.md)              |
+| Servir des **octets** : processus, relais `fetch`, archive | `this.renderStream(src)` | `context.openStream(src)` | [Flux d'octets](./docs/byte-stream.md) |
+
+```ts
+const tar = spawn("tar", ["-cz", "-C", "var", "logs"], {
+  stdio: ["ignore", "pipe", "ignore"],
+});
+try {
+  const { reason, bytes } = await this.renderStream(tar.stdout, {
+    headers: { "content-type": "application/gzip" },
+  });
+} finally {
+  tar.kill("SIGKILL");
+}
+```
+
 ## Rate-limit général par IP
 
 Plafond de trafic **par IP cliente** sur toutes les routes HTTP — protège la capacité du serveur

package/dist/_virtual/{_@oxc-project_runtime@0.155.0 → _@oxc-project_runtime@0.157.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-// \0@oxc-project+runtime@0.155.0/helpers/esm/decorate.js
+// \0@oxc-project+runtime@0.157.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.155.0 → _@oxc-project_runtime@0.157.0}/helpers/esm/decorateParam.js

@@ -1,4 +1,4 @@
-// \0@oxc-project+runtime@0.155.0/helpers/esm/decorateParam.js
+// \0@oxc-project+runtime@0.157.0/helpers/esm/decorateParam.js
 function __decorateParam(paramIndex, decorator) {
 	return function(target, key) {
 		decorator(target, key, paramIndex);

package/dist/index.js

@@ -1,31 +1,8 @@
-import { normalizePrefix, parseProxyOrigin, proxyMountProblems } from "./nodefony/src/proxy/rules.js";
 import config, { httpConfigSchema, httpOverlaySchema } from "./nodefony/config/config.js";
 import { defineHttpConfig, httpConfigJsonSchema } from "./nodefony/config/defineModuleConfig.js";
 import { createHttpAdminApi } from "./nodefony/service/HttpAdminApi.js";
-import { ACTION_SELF_PHASE, NO_ROUTE, N_PLUS_ONE_MIN_REPEATS, TOOLING_URL_PREFIX, aggregateProfiles, createProfileAggregator, isFailedProfile, sqlShape } from "./nodefony/src/profiler/aggregate.js";
 import { createProfilerAdminApi } from "./nodefony/service/ProfilerAdminApi.js";
 import { Profiler } from "./nodefony/src/profiler/Profiler.js";
-import HttpError from "./nodefony/src/errors/httpError.js";
-import { MemoryRateLimitStore } from "./nodefony/src/rateLimit/MemoryRateLimitStore.js";
-import { compileDomainPattern, compileDomainPatterns, compileTrustedHosts, isDomainAllowed } from "./nodefony/src/context/domainMatcher.js";
-import { REQUEST_TRACE_CHANNEL } from "./nodefony/src/context/requestTrace.js";
-import Cookie from "./nodefony/src/cookies/cookie.js";
-import Context from "./nodefony/src/context/Context.js";
-import { decideSend, readBackpressureOptions } from "./nodefony/src/context/websocket/wsBackpressure.js";
-import WebsocketResponse from "./nodefony/src/context/websocket/Response.js";
-import { FrameProfile } from "./nodefony/src/profiler/FrameProfile.js";
-import WebsocketContext from "./nodefony/src/context/websocket/WebsocketContext.js";
-import HttpRequest from "./nodefony/src/context/http/Request.js";
-import HttpResponse from "./nodefony/src/context/http/Response.js";
-import Http2Request from "./nodefony/src/context/http2/Request.js";
-import Http2Response from "./nodefony/src/context/http2/Response.js";
-import { SSE_HEARTBEAT_MS, SseStream, acceptsEventStream, openSseStream } from "./nodefony/src/context/http/SseStream.js";
-import HttpContext from "./nodefony/src/context/http/HttpContext.js";
-import DefaultErrorRenderer, { schemaMismatchOf, toValidationFields } from "./nodefony/service/error-renderer.js";
-import JsonAuditLogger from "./nodefony/service/audit-logger.js";
-import DefaultRequestLogger from "./nodefony/service/request-logger.js";
-import PrettyRequestLogger from "./nodefony/service/pretty-request-logger.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
 import http_kernel_default from "./nodefony/service/http-kernel.js";
 import server_http_default from "./nodefony/service/servers/server-http.js";
 import server_https_default from "./nodefony/service/servers/server-https.js";
@@ -38,13 +15,39 @@ import Network from "./nodefony/command/networkCommand.js";
 import Certificates from "./nodefony/command/certificatesCommand.js";
 import ProxyGenerate from "./nodefony/command/proxyGenerateCommand.js";
 import AssetsPublish from "./nodefony/command/assetsPublishCommand.js";
-import Session from "./nodefony/src/session/session.js";
-import { SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS } from "./nodefony/src/session/storage/sessionSort.js";
 import sessions_service_default from "./nodefony/service/sessions/sessions-service.js";
 import Certificate, { trustOutboundAuthorities } from "./nodefony/service/certificates.js";
+import Context from "./nodefony/src/context/Context.js";
+import Session from "./nodefony/src/session/session.js";
+import HttpError from "./nodefony/src/errors/httpError.js";
+import HttpResponse, { isContentlessStatus } from "./nodefony/src/context/http/Response.js";
+import Http2Response from "./nodefony/src/context/http2/Response.js";
+import WebsocketResponse from "./nodefony/src/context/websocket/Response.js";
+import Cookie from "./nodefony/src/cookies/cookie.js";
 import upload_service_default from "./nodefony/service/upload/upload-service.js";
+import DefaultErrorRenderer, { schemaMismatchOf, toValidationFields } from "./nodefony/service/error-renderer.js";
+import DefaultRequestLogger from "./nodefony/service/request-logger.js";
+import JsonAuditLogger from "./nodefony/service/audit-logger.js";
+import PrettyRequestLogger from "./nodefony/service/pretty-request-logger.js";
+import HttpContext from "./nodefony/src/context/http/HttpContext.js";
+import WebsocketContext from "./nodefony/src/context/websocket/WebsocketContext.js";
+import HttpRequest from "./nodefony/src/context/http/Request.js";
+import Http2Request from "./nodefony/src/context/http2/Request.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorate.js";
+import { parseRequestTarget } from "./nodefony/src/context/http/urlFastPath.js";
+import { decideSend, readBackpressureOptions } from "./nodefony/src/context/websocket/wsBackpressure.js";
+import { FRAME_RATE_WINDOW_MS, admitFrame, frameRateRejectedTotal, readFrameRateBound, readFrameRateCloseAfter } from "./nodefony/src/context/websocket/wsFrameRate.js";
 import { isWebsocketContext } from "./nodefony/src/context/websocket/isWebsocketContext.js";
+import { REQUEST_TRACE_CHANNEL } from "./nodefony/src/context/requestTrace.js";
+import { compileDomainPattern, compileDomainPatterns, compileTrustedHosts, isDomainAllowed } from "./nodefony/src/context/domainMatcher.js";
+import { MemoryRateLimitStore } from "./nodefony/src/rateLimit/MemoryRateLimitStore.js";
+import { SSE_HEARTBEAT_MS, SseStream, acceptsEventStream, openSseStream } from "./nodefony/src/context/http/SseStream.js";
+import { openByteStream } from "./nodefony/src/context/http/ByteStream.js";
+import { ACTION_SELF_PHASE, NO_ROUTE, N_PLUS_ONE_MIN_REPEATS, TOOLING_URL_PREFIX, aggregateProfiles, createProfileAggregator, isFailedProfile, sqlShape } from "./nodefony/src/profiler/aggregate.js";
+import { FrameProfile } from "./nodefony/src/profiler/FrameProfile.js";
+import { normalizePrefix, parseProxyOrigin, proxyMountProblems } from "./nodefony/src/proxy/rules.js";
 import { PrebuiltUi, resolveUiDelivery } from "./nodefony/src/assets/prebuiltUi.js";
+import { SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS } from "./nodefony/src/session/storage/sessionSort.js";
 import { Module, services } from "nodefony";
 // index.ts
 let Http = class Http extends Module {
@@ -116,4 +119,4 @@ Http = __decorate([services([
 	upload_service_default
 ])], Http);
 var http_default = Http;
-export { ACTION_SELF_PHASE, Context, Cookie, DefaultErrorRenderer, DefaultRequestLogger, FrameProfile, Http2Request, Http2Response, HttpContext, HttpError, http_kernel_default as HttpKernel, HttpRequest, HttpResponse, HttpResponse as Response, JsonAuditLogger, MemoryRateLimitStore, NO_ROUTE, N_PLUS_ONE_MIN_REPEATS, PrebuiltUi, PrettyRequestLogger, Profiler, REQUEST_TRACE_CHANNEL, ReverseProxy, SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS, SSE_HEARTBEAT_MS, Session, sessions_service_default as SessionsService, SseStream, TOOLING_URL_PREFIX, WebsocketContext, WebsocketResponse, WebsocketResponse as wsResponse, acceptsEventStream, aggregateProfiles, compileDomainPattern, compileDomainPatterns, compileTrustedHosts, createProfileAggregator, decideSend, http_default as default, defineHttpConfig, httpConfigJsonSchema, httpConfigSchema, isDomainAllowed, isFailedProfile, isWebsocketContext, normalizePrefix, openSseStream, parseProxyOrigin, proxyMountProblems, readBackpressureOptions, resolveUiDelivery, schemaMismatchOf, sqlShape, toValidationFields };
+export { ACTION_SELF_PHASE, Context, Cookie, DefaultErrorRenderer, DefaultRequestLogger, FRAME_RATE_WINDOW_MS, FrameProfile, Http2Request, Http2Response, HttpContext, HttpError, http_kernel_default as HttpKernel, HttpRequest, HttpResponse, HttpResponse as Response, JsonAuditLogger, MemoryRateLimitStore, NO_ROUTE, N_PLUS_ONE_MIN_REPEATS, PrebuiltUi, PrettyRequestLogger, Profiler, REQUEST_TRACE_CHANNEL, ReverseProxy, SESSION_COLUMN_ALIASES, SESSION_DEFAULT_ORDER, SESSION_DEFAULT_ORDER_SQL, SESSION_SORTABLE_FIELDS, SSE_HEARTBEAT_MS, Session, sessions_service_default as SessionsService, SseStream, TOOLING_URL_PREFIX, WebsocketContext, WebsocketResponse, WebsocketResponse as wsResponse, acceptsEventStream, admitFrame, aggregateProfiles, compileDomainPattern, compileDomainPatterns, compileTrustedHosts, createProfileAggregator, decideSend, http_default as default, defineHttpConfig, frameRateRejectedTotal, httpConfigJsonSchema, httpConfigSchema, isContentlessStatus, isDomainAllowed, isFailedProfile, isWebsocketContext, normalizePrefix, openByteStream, openSseStream, parseProxyOrigin, parseRequestTarget, proxyMountProblems, readBackpressureOptions, readFrameRateBound, readFrameRateCloseAfter, resolveUiDelivery, schemaMismatchOf, sqlShape, toValidationFields };

package/dist/nodefony/command/proxyGenerateCommand.js

@@ -1,7 +1,7 @@
-import { resolveTrustedHostNames } from "../src/context/domainMatcher.js";
-import { asServersConfig, configuredServerPort } from "../src/servers/kernelServers.js";
 import { defaultIntrospection, generateHaproxyConfig, generateNginxConfig } from "../src/proxy/generateProxyConfig.js";
 import { planAssetPublish } from "../src/assets/collectAssets.js";
+import { asServersConfig, configuredServerPort } from "../src/servers/kernelServers.js";
+import { resolveTrustedHostNames } from "../src/context/domainMatcher.js";
 import { Command } from "nodefony";
 import fsp from "node:fs/promises";
 import { isAbsolute, resolve } from "node:path";

package/dist/nodefony/config/config.js

@@ -101,7 +101,7 @@ const securityHeadersSchema = z.strictObject({
 	}),
 	frameOptions: z.string().nullable().default("DENY").meta({
 		runtimeMutable: true,
-		description: "X-Frame-Options — anti-clickjacking. `DENY` (recommandé) | `SAMEORIGIN`. Superposé par CSP `frame-ancestors`. `null` = désactivé. Éditable à chaud (recompute HttpKernel)."
+		description: "Anti-clickjacking — pilote `X-Frame-Options` ET la directive CSP `frame-ancestors` (posée par @nodefony/security) : `DENY` (défaut, 'none') | `SAMEORIGIN` ('self') | `null` (aucun des deux). Encadrement par une origine tierce : `frame-ancestors <origine>` dans `security.headers.csp`, qui l’emporte. Éditable à chaud."
 	}),
 	strictTransportSecurity: strictTransportSecuritySchema.nullable().default(() => strictTransportSecuritySchema.parse({})).describe("HSTS — voir sous-schéma. `null` = header désactivé.")
 }).describe("En-têtes de sécurité HTTP — defaults OWASP secure-by-default, posés en amont du pipeline (couvre aussi les statics).");
@@ -224,7 +224,9 @@ const websocketSchema = z.looseObject({
 	allowSynchronousEvents: z.boolean().default(true).describe("Émet les events ('message', 'ping'…) de plusieurs frames lues dans un même chunk réseau de façon synchrone (ws@8.18+). true = meilleur débit ; false = un event par tick d'event loop (latence plus régulière, plus équitable entre connexions)."),
 	maxBackpressure: z.number().int().nonnegative().default(4194304).describe("Seuil (octets) du buffer d'envoi par connexion (`ws.bufferedAmount`) au-delà duquel `backpressurePolicy` s'applique. Borne la RAM d'envoi face à un client LENT À RECEVOIR (anti-OOM) ; broadcast() amplifie (un seul lent peut plomber la diffusion). 0 = désactivé. Défaut 4 MiB."),
 	backpressureCloseAfterDrops: z.number().int().nonnegative().default(1e3).describe("SOLDE de frames refusées au-delà duquel la connexion est FERMÉE (1013), en politique 'drop' : +1 par frame refusée, −1 par frame envoyée. POURQUOI un solde et pas un second seuil d'octets : une fois qu'on jette, plus rien n'alimente la file — elle plafonne au seuil de drop et n'atteint jamais un seuil supérieur, qui serait donc inatteignable (mesuré). Et pas une série remise à zéro au premier envoi : la file d'un client bloqué oscille autour du seuil, chaque envoi effacerait la série et il ne serait jamais fermé. Le solde, lui, distingue le pic passager du client mort. 0 = ne jamais fermer. Défaut 1000."),
-	backpressurePolicy: z.enum(["drop", "close"]).default("drop").describe("Action quand `ws.bufferedAmount` dépasse `maxBackpressure`. 'drop' = sauter la frame pour ce client (il reste connecté, dégradable — idéal télémétrie/broadcast, défaut). 'close' = fermer le client (RFC 6455 close 1013 « Try Again Later »). La fusion (coalesce) relève de la couche canal realtime, pas du transport.")
+	backpressurePolicy: z.enum(["drop", "close"]).default("drop").describe("Action quand `ws.bufferedAmount` dépasse `maxBackpressure`. 'drop' = sauter la frame pour ce client (il reste connecté, dégradable — idéal télémétrie/broadcast, défaut). 'close' = fermer le client (RFC 6455 close 1013 « Try Again Later »). La fusion (coalesce) relève de la couche canal realtime, pas du transport."),
+	maxFramesPerSecond: z.number().int().nonnegative().default(0).describe("Trames REÇUES admises par seconde et par connexion (unité : une trame, texte ou binaire — la taille est bornée à part par `maxPayload`). Au-delà, la trame est écartée AVANT tout décodage et comptée (`frameRateRejectedTotal` sur la sonde du hub temps réel) ; la connexion reste ouverte. 0 = désactivée (défaut de toute la série 10). Repère : 50 trames/s d'audio passent avec marge sous une borne de 200."),
+	frameRateCloseAfterRejects: z.number().int().nonnegative().default(1e3).describe("SOLDE de trames écartées au-delà duquel la connexion est FERMÉE (1008, violation de politique) : +1 par trame écartée, −1 par trame admise — même règle que `backpressureCloseAfterDrops`. Un pic passager ne ferme pas ; seul un flux soutenu au-delà du DOUBLE de `maxFramesPerSecond` fait monter le solde. Sans effet tant que `maxFramesPerSecond` vaut 0. 0 = ne jamais fermer. Défaut 1000.")
 }).describe("Serveur WebSocket (`ws@8`). Les options ci-dessus (+ loose : `verifyClient`, `handleProtocols`, `path`, `WebSocket`…) sont transmises à `ws`. GÉRÉ par Nodefony et donc NON exposé : `server`/`host`/`port`/`noServer` (forcé à `noServer` : l'upgrade du serveur HTTP passe d'abord par le proxy inverse, puis par `ws`), `clientTracking` (forcé true — requis par broadcast() + heartbeat), `backlog` (celui du serveur HTTP). `keepalive*`/`closeTimeout` sont des knobs Nodefony, pas des options `ws`.");
 const staticOptionsSchema = z.looseObject({
 	cacheControl: z.boolean().optional().describe("Active le header Cache-Control."),

package/dist/nodefony/service/ProfilerAdminApi.js

@@ -13,7 +13,8 @@ import { aggregateProfiles } from "../src/profiler/aggregate.js";
 *    `?connection=<requestId>` : les seules frames de cette socket WebSocket
 *  - `GET /nodefony/profiler/api/summary` → les profils de l'anneau agrégés par
 *    route (percentiles, phases, formes SQL, N+1, erreurs — `aggregateProfiles`)
-*  - `GET /nodefony/profiler/api/{id}`    → profil complet (phases) d'un requestId
+*  - `GET /nodefony/profiler/api/{id}`    → profil complet (phases) d'un requestId ;
+*    absent → 404 `{ startedAt, clearedAt }` : depuis quand l'anneau sait quelque chose
 *  - `DELETE /nodefony/profiler/api/recent` → vide le ring buffer
 *
 * La debug bar (toute page, dev) lit `X-Request-Id` de SON appel AJAX puis
@@ -68,7 +69,9 @@ function createProfilerAdminApi(profiler) {
 					status: 404,
 					body: {
 						error: "Profile not found",
-						requestId: params.id
+						requestId: params.id,
+						startedAt: profiler.startedAt,
+						clearedAt: profiler.clearedAt
 					}
 				};
 				return entry;

package/dist/nodefony/service/error-renderer.js

@@ -208,10 +208,11 @@ const PG_INVALID_INPUT = /^invalid input syntax for type (\w+): "(.*)"$/su;
 /**
 * Reconnaît un identifiant MAL FORMÉ refusé par la base, et rend la valeur fautive.
 *
-* Deux moteurs le disent : MongoDB par une `CastError` de Mongoose (la clé est
-* un ObjectId), PostgreSQL par `22P02` (la clé est un `uuid` ou un entier).
-* SQLite et MySQL rangent la clé en texte : ils ne lèvent rien, la lecture rend
-* simplement « rien », d'où leur 404 — c'est la cohérence avec eux qui est visée.
+* Trois sources le disent : MongoDB par une `CastError` de Mongoose (la clé est
+* un ObjectId), PostgreSQL par `22P02` (la clé est un `uuid` ou un entier), et
+* le kit de colonnes portable par une `ColumnValueError` de genre `uuid` ou
+* `integer` — il refuse sur les trois moteurs la clé que PostgreSQL refuserait. Une clé rangée en
+* texte NATIF ne lève rien, la lecture rend « rien » : le même 404.
 *
 * Même descente dans `cause` que {@link isUniqueViolation} (Drizzle enveloppe).
 *
@@ -223,6 +224,7 @@ function malformedIdentifierOf(error) {
 	for (let depth = 0; depth < 5 && current instanceof Error; depth += 1) {
 		const candidate = current;
 		if (candidate.name === "CastError" && (candidate.kind === "ObjectId" || candidate.kind === "UUID") && (typeof candidate.value === "string" || typeof candidate.value === "number")) return String(candidate.value);
+		if (candidate.name === "ColumnValueError" && (candidate.kind === "uuid" || candidate.kind === "integer") && typeof candidate.value === "string") return candidate.value;
 		if (String(candidate.code) === "22P02") {
 			const match = PG_INVALID_INPUT.exec(candidate.message);
 			if (match) {

package/dist/nodefony/service/http-kernel.js

@@ -1,34 +1,41 @@
-import { isProfiledUrl } from "../src/profiler/aggregate.js";
 import HttpError from "../src/errors/httpError.js";
+import { isUnsupportedTransferCoding } from "../src/proxy/rules.js";
+import { hasConflictingAuthority } from "../src/context/transport.js";
 import { buildTrustProxy } from "../src/context/trustProxy.js";
 import { resolveForwarded } from "../src/context/forwarded.js";
 import { MemoryRateLimitStore } from "../src/rateLimit/MemoryRateLimitStore.js";
 import { WsConnectionCounter } from "../src/rateLimit/WsConnectionCounter.js";
 import { compileDomainPatterns, compileTrustedHosts, isDomainAllowed } from "../src/context/domainMatcher.js";
+import { isProfiledUrl } from "../src/profiler/aggregate.js";
 import { responseEnded } from "../src/context/responseEnded.js";
 import { unsentResponseWarning } from "../src/context/unsentResponse.js";
 import { closeRequestTrace, hasRequestTraceSubscribers, openRequestTrace, runTraced } from "../src/context/requestTrace.js";
-import { parseWebsocketUrl } from "../src/context/websocket/websocketUrl.js";
 import WebsocketContext, { toHandshakeStatus } from "../src/context/websocket/WebsocketContext.js";
 import { trackPong } from "./servers/wsHeartbeat.js";
+import { parseWebsocketUrl } from "../src/context/websocket/websocketUrl.js";
 import HttpContext from "../src/context/http/HttpContext.js";
 import DefaultErrorRenderer from "./error-renderer.js";
-import JsonAuditLogger from "./audit-logger.js";
 import DefaultRequestLogger from "./request-logger.js";
 import PrettyRequestLogger from "./pretty-request-logger.js";
+import JsonAuditLogger from "./audit-logger.js";
 import { resolveTraceparent } from "./trace.js";
 import { asServersConfig, configuredServerPort } from "../src/servers/kernelServers.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
-import { GcScheduler, IDENTITY_CHANGED_EVENT, RequestContext, RevocationWatch, Service, finallyMaybe, injectable, isPromise, logColor, nodefonyError, servedUrl, thenMaybe, writeRuntimeState } from "nodefony";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorate.js";
+import { BootConfigurationError, GcScheduler, IDENTITY_CHANGED_EVENT, RequestContext, RevocationWatch, Service, finallyMaybe, injectable, isPromise, logColor, nodefonyError, servedUrl, thenMaybe, writeRuntimeState } from "nodefony";
 import cluster from "node:cluster";
 import http from "node:http";
 // nodefony/service/http-kernel.ts
-const HEALTH_HEADERS = {
-	"content-type": "application/json",
-	"cache-control": "no-store"
-};
+const HEALTH_HEADERS = [
+	"content-type",
+	"application/json",
+	"cache-control",
+	"no-store"
+];
 const HEALTH_BODY_OK = "{\"status\":\"ok\"}";
 const HEALTH_BODY_UNREADY = "{\"status\":\"unready\"}";
+/** Corps du 429 du limiteur de débit — figé, rien à sérialiser par refus. */
+const TOO_MANY_REQUESTS_BODY = "{\"code\":429,\"message\":\"Too Many Requests\"}";
+const TOO_MANY_REQUESTS_LENGTH = Buffer.byteLength(TOO_MANY_REQUESTS_BODY);
 const perfProbe = process.env.NF_PERF_PROBE === "1" ? {
 	count: 0,
 	enterScopeNs: 0,
@@ -107,6 +114,20 @@ let HttpKernel = class HttpKernel extends Service {
 	secContentTypeOptions = null;
 	secFrameOptions = null;
 	secHsts = null;
+	/**
+	* En-têtes du transport, tableau plat `[nom, valeur, …]` aux noms en
+	* minuscules, par famille de serveur (HSTS sur TLS seulement). Figés et
+	* VALIDÉS au calcul : chaque réponse les recopie sans les revalider.
+	*/
+	#transportHeaders = {
+		http: [],
+		https: []
+	};
+	/** Réponse d'une sonde de santé : le transport, puis type et cache. */
+	#healthHeaders = {
+		http: [],
+		https: []
+	};
 	sessionService;
 	router;
 	firewall;
@@ -157,12 +178,49 @@ let HttpKernel = class HttpKernel extends Service {
 			if (hsts.preload) v += "; preload";
 			this.secHsts = v;
 		} else this.secHsts = null;
+		const headerServer = this.options.headerServer;
+		const http1 = [];
+		if (headerServer != null && headerServer !== "") http1.push("server", headerServer);
+		if (this.secContentTypeOptions !== null) http1.push("x-content-type-options", this.secContentTypeOptions);
+		if (this.secFrameOptions !== null) http1.push("x-frame-options", this.secFrameOptions);
+		const tls = this.secHsts === null ? http1 : [
+			...http1,
+			"strict-transport-security",
+			this.secHsts
+		];
+		for (let i = 0; i + 1 < tls.length; i += 2) {
+			const name = tls[i] ?? "";
+			try {
+				http.validateHeaderValue(name, tls[i + 1] ?? "");
+			} catch (error) {
+				throw new BootConfigurationError(`[@nodefony/http] en-tête « ${name} » refusé : ${error instanceof Error ? error.message : String(error)}`);
+			}
+		}
+		this.#transportHeaders = {
+			http: http1,
+			https: tls
+		};
+		this.#healthHeaders = {
+			http: [...http1, ...HEALTH_HEADERS],
+			https: [...tls, ...HEALTH_HEADERS]
+		};
+	}
+	/**
+	* En-têtes du transport d'une réponse, figés au démarrage — ce que
+	* `HttpResponse` place en tête de sa réserve.
+	*
+	* @param type - famille du serveur qui a reçu la requête.
+	* @returns la liste plate `[nom, valeur, …]`, noms en minuscules.
+	*/
+	transportHeaders(type) {
+		return type === "https" ? this.#transportHeaders.https : this.#transportHeaders.http;
 	}
 	/**
 	* Ce que ce kernel ÉMET réellement comme en-têtes de sécurité transport.
 	*
 	* Ces trois en-têtes (HSTS, X-Frame-Options, X-Content-Type-Options) sont posés
-	* ici, à l'entrée brute, pour couvrir aussi les statiques et les pages d'erreur
+	* par `@nodefony/http` sur TOUTE réponse (en tête de la réserve de `HttpResponse`),
+	* statiques et pages d'erreur comprises
 	* — pas par `@nodefony/security`, dont les clés homonymes sont inertes. Toute
 	* console d'administration doit donc lire CE point, sinon elle affiche une
 	* intention de configuration au lieu de l'état appliqué.
@@ -189,6 +247,7 @@ let HttpKernel = class HttpKernel extends Service {
 	*/
 	onConfigChanged() {
 		this.computeSecurityHeaderCaches();
+		this.firewall?.onTransportHeadersChanged?.();
 		this._trustProxyChecker = null;
 		this._wsOriginPolicy = Object.create(null);
 		this.trustedHosts = this.options.trustedHosts;
@@ -296,9 +355,9 @@ let HttpKernel = class HttpKernel extends Service {
 	* @param response - réponse serveur brute (HTTP/1 ou H2 compat)
 	* @param ok - `true` → 200, `false` → 503 (readiness pendant boot/shutdown)
 	*/
-	#respondHealth(response, ok) {
+	#respondHealth(response, ok, type) {
 		const res = response;
-		res.writeHead(ok ? 200 : 503, HEALTH_HEADERS);
+		res.writeHead(ok ? 200 : 503, type === "https" ? this.#healthHeaders.https : this.#healthHeaders.http);
 		res.end(ok ? HEALTH_BODY_OK : HEALTH_BODY_UNREADY);
 	}
 	async init() {
@@ -608,7 +667,7 @@ let HttpKernel = class HttpKernel extends Service {
 			if (!context.response.isHeaderSent()) {
 				if (context.isRedirect) {
 					context.isRedirect = false;
-					context.response.response?.removeHeader("Location");
+					context.response.removeHeader("Location");
 				}
 				try {
 					await context.render(result.body);
@@ -678,19 +737,14 @@ let HttpKernel = class HttpKernel extends Service {
 	*   pipeline.
 	*/
 	dispatchHttpRequest(request, response, type) {
-		const headerServer = this.options.headerServer;
-		if (headerServer != null && headerServer !== "") response.setHeader("Server", headerServer);
-		if (this.secContentTypeOptions !== null) response.setHeader("X-Content-Type-Options", this.secContentTypeOptions);
-		if (this.secFrameOptions !== null) response.setHeader("X-Frame-Options", this.secFrameOptions);
-		if (this.secHsts !== null && type === "https") response.setHeader("Strict-Transport-Security", this.secHsts);
 		if (this.#healthPaths !== null) {
 			const url = request.url;
 			if (url === this.#healthPaths.liveness) {
-				this.#respondHealth(response, true);
+				this.#respondHealth(response, true, type);
 				return;
 			}
 			if (url === this.#healthPaths.readiness) {
-				this.#respondHealth(response, !this.#terminating && this.kernel?.servable === true);
+				this.#respondHealth(response, !this.#terminating && this.kernel?.servable === true, type);
 				return;
 			}
 		}
@@ -704,13 +758,19 @@ let HttpKernel = class HttpKernel extends Service {
 				if (verdict.limited) {
 					response.setHeader("Retry-After", verdict.retryAfterS);
 					const res = response;
-					res.writeHead(429);
-					res.end();
+					response.setHeader("Content-Type", "application/json; charset=utf-8");
+					response.setHeader("Content-Length", TOO_MANY_REQUESTS_LENGTH);
+					res.writeHead(429, type === "https" ? this.#transportHeaders.https : this.#transportHeaders.http);
+					res.end(TOO_MANY_REQUESTS_BODY);
 					return;
 				}
 			}
 		}
-		if (this.listenerCount("onServerRequest")) return this.fireAsync("onServerRequest", request, response, type).then(() => this.handle(request, response, type));
+		if (this.listenerCount("onServerRequest")) {
+			const transport = type === "https" ? this.#transportHeaders.https : this.#transportHeaders.http;
+			for (let i = 0; i + 1 < transport.length; i += 2) response.setHeader(transport[i] ?? "", transport[i + 1] ?? "");
+			return this.fireAsync("onServerRequest", request, response, type).then(() => this.handle(request, response, type));
+		}
 		return this.handle(request, response, type);
 	}
 	async initServers() {
@@ -946,7 +1006,7 @@ let HttpKernel = class HttpKernel extends Service {
 			if (!isPromise(served)) return served;
 			return served.catch((e) => this.failHttp(e, created, scope));
 		} catch (e) {
-			return this.failHttp(e, context, scope);
+			return this.failHttp(e, context, scope, response);
 		}
 	}
 	/**
@@ -986,9 +1046,19 @@ let HttpKernel = class HttpKernel extends Service {
 	/**
 	* Chemin d'erreur de {@link handleHttp} : libère le scope d'un contexte qui
 	* n'a pas pu se construire, puis rend l'erreur au client (`onError`).
+	*
+	* Sans contexte, `onError` n'a rien sur quoi écrire : la réponse BRUTE
+	* reçoit alors un 500 nu. Sinon HTTP/1.1 coupait la connexion sans un octet
+	* et HTTP/2 laissait le flux pendu.
 	*/
-	failHttp(e, context, scope) {
-		if (context === null) this.container?.leaveScope(scope);
+	failHttp(e, context, scope, response) {
+		if (context === null) {
+			this.container?.leaveScope(scope);
+			if (response && !response.headersSent) {
+				response.statusCode = 500;
+				response.end();
+			}
+		}
 		return this.onError(e, context);
 	}
 	/**
@@ -1020,6 +1090,7 @@ let HttpKernel = class HttpKernel extends Service {
 	*/
 	routeHttpRequest(httpContext, request, response) {
 		if (this.reverseProxy !== null && this.reverseProxy.mounts !== null && (httpContext.validDomain || !this.domainCheck)) {
+			if (this.reverseProxy.match(request.url) !== void 0) httpContext.response.commitHeaders();
 			const relayed = this.reverseProxy.forward(request, response, httpContext.scheme);
 			if (relayed !== void 0) {
 				httpContext.relayAccessLog = this.reverseProxy.match(request.url)?.accessLog ?? "all";
@@ -1029,10 +1100,14 @@ let HttpKernel = class HttpKernel extends Service {
 		httpContext.phaseStart("resolve");
 		httpContext.resolver = this.router ? this.router.resolve(httpContext) : null;
 		httpContext.phaseEnd("resolve");
-		this.firewall?.applySecurityHeaders(httpContext);
+		if (this.firewall) httpContext.response.headerPolicy = this.firewall;
 		if (this.serverStatic && httpContext.resolver?.resolve !== true && !httpContext.resolver?.exception && (asServersConfig(this.kernel?.options.servers)?.statics || this.kernel?.options.statics || this.serverStatic.hasMounts())) {
-			response.removeHeader("Content-Type");
-			return this.serverStatic.handle(request, response).catch(() => void 0).then(() => this.serveHttpRequest(httpContext));
+			httpContext.response.removeHeader("Content-Type");
+			httpContext.response.commitBeforeNativeWrite();
+			return this.serverStatic.handle(request, response).catch(() => void 0).then(() => {
+				httpContext.response.disarmNativeWrite();
+				return this.serveHttpRequest(httpContext);
+			});
 		}
 		return this.serveHttpRequest(httpContext);
 	}
@@ -1041,6 +1116,9 @@ let HttpKernel = class HttpKernel extends Service {
 	* ({@link onRequestEnd}) et l'action. Chacun n'est attendu que s'il attend.
 	*/
 	serveHttpRequest(httpContext) {
+		const headers = httpContext.request.headers;
+		if (isUnsupportedTransferCoding(headers["transfer-encoding"])) return Promise.reject(new HttpError("Transfer-Encoding not implemented", 501, httpContext));
+		if (hasConflictingAuthority(headers)) return Promise.reject(new HttpError("Host differs from :authority", 400, httpContext));
 		const streamBody = httpContext.resolver?.resolve === true && httpContext.resolver.route?.bodyStream === true;
 		httpContext.phaseStart("parse");
 		const parsed = finallyMaybe(() => streamBody ? void 0 : httpContext.request.initialize(), () => httpContext.phaseEnd("parse"));
@@ -1098,8 +1176,8 @@ let HttpKernel = class HttpKernel extends Service {
 				if (this.listenerCount("afterAuth")) await this.fireAsync("afterAuth", context);
 			} catch (authError) {
 				if (context.resolver?.exception) {
-					context.response.response?.removeHeader("Upgrade");
-					context.response.response?.removeHeader("Connection");
+					context.response.removeHeader("Upgrade");
+					context.response.removeHeader("Connection");
 				}
 				await this.fireAsync("onAuthFailure", context, authError).catch((e) => this.log(e, "ERROR", "onAuthFailure"));
 				throw authError;
@@ -1424,12 +1502,12 @@ let HttpKernel = class HttpKernel extends Service {
 		return true;
 	}
 	/**
-	* Inscrit un flux SSE à identité révocable : il sera fermé dans la fenêtre de
+	* Inscrit un flux (événements ou octets) à identité révocable : il sera fermé dans la fenêtre de
 	* re-validation qui suit la mort de son identité (déconnexion, session
 	* révoquée, jeton expiré ou annulé) — le même registre et la même règle que
 	* les sockets WebSocket.
 	*
-	* @internal — appelé par le flux lui-même.
+	* @internal — appelé par le cycle de vie du flux (`StreamLifecycle`).
 	*/
 	watchStream(stream) {
 		(this.#streams ??= new RevocationWatch({
@@ -1443,7 +1521,7 @@ let HttpKernel = class HttpKernel extends Service {
 		this.#streams?.unregister(stream);
 	}
 	/**
-	* Re-valide tous les flux SSE et ferme ceux dont l'identité est morte.
+	* Re-valide tous les flux en cours et ferme ceux dont l'identité est morte.
 	* Publique pour qu'un banc la déclenche sans attendre le tick.
 	*/
 	revalidateStreams() {

package/dist/nodefony/service/pretty-request-logger.js

@@ -1,5 +1,5 @@
-import { handshakeRefusalStatus } from "../src/context/websocket/WebsocketContext.js";
 import { severityFromStatus, statusOf } from "./audit-logger.js";
+import { handshakeRefusalStatus } from "../src/context/websocket/WebsocketContext.js";
 import { accessStatusFamily, logColor } from "nodefony";
 // nodefony/service/pretty-request-logger.ts
 /**

package/dist/nodefony/service/request-logger.js

@@ -1,5 +1,5 @@
-import { handshakeRefusalStatus } from "../src/context/websocket/WebsocketContext.js";
 import { severityFromStatus } from "./audit-logger.js";
+import { handshakeRefusalStatus } from "../src/context/websocket/WebsocketContext.js";
 import { logColor } from "nodefony";
 // nodefony/service/request-logger.ts
 /**

package/dist/nodefony/service/reverse-proxy.js

@@ -1,6 +1,6 @@
+import { forwardRequest, forwardUpgrade, refuseMalformedHandshake, refuseUpgrade } from "../src/proxy/forward.js";
 import { isAmbiguousPath, normalizePrefix, parseProxyOrigin, proxyMountProblems, websocketHandshakeProblem } from "../src/proxy/rules.js";
 import { requestAuthority } from "../src/context/transport.js";
-import { forwardRequest, forwardUpgrade, refuseUpgrade } from "../src/proxy/forward.js";
 import { Service } from "nodefony";
 import http from "node:http";
 import { randomBytes } from "node:crypto";
@@ -275,10 +275,15 @@ var ReverseProxy = class extends Service {
 			refuseUpgrade(socket, 421, "Misdirected Request");
 			return true;
 		}
-		if (hostname === null || isAmbiguousPath(req.url ?? "/") || websocketHandshakeProblem(req.method, req.headers) !== null) {
+		if (hostname === null || isAmbiguousPath(req.url ?? "/")) {
 			refuseUpgrade(socket, 400, "Bad Request");
 			return true;
 		}
+		const problem = websocketHandshakeProblem(req.method, req.headers);
+		if (problem !== null) {
+			refuseMalformedHandshake(socket, problem);
+			return true;
+		}
 		const secure = req.socket instanceof TLSSocket;
 		if (rules !== void 0 && !rules.isWebsocketOriginAllowed(req.headers.origin, hostname, secure)) {
 			refuseUpgrade(socket, 403, "Forbidden");

package/dist/nodefony/service/servers/clientError.js

@@ -1,7 +1,8 @@
 import { isPeerGoneError } from "../../src/context/websocket/Response.js";
 // nodefony/service/servers/clientError.ts
 /**
-* Gère l'event `clientError` d'un `http.Server` / `https.Server`.
+* Gère l'event `clientError` d'un `http.Server` / `https.Server`, et des connexions
+* HTTP/1.1 d'un serveur HTTP/2 à `allowHTTP1`.
 *
 * ⚠️ Doc Node (`http.Server` event `'clientError'`) : dès qu'un listener
 * `clientError` est attaché, Node **cesse de fermer le socket automatiquement**
@@ -13,9 +14,32 @@ import { isPeerGoneError } from "../../src/context/websocket/Response.js";
 * @param socket - flux client brut (l'event `clientError` fournit un `Duplex`).
 */
 function handleClientError(error, socket) {
-	if (error.code === "ECONNRESET" || !socket.writable) return;
-	const statusLine = error.code === "HPE_HEADER_OVERFLOW" ? "431 Request Header Fields Too Large" : "400 Bad Request";
-	socket.end(`HTTP/1.1 ${statusLine}\r\nConnection: close\r\n\r\n`);
+	const code = "code" in error ? error.code : void 0;
+	if (code === "ECONNRESET" || !socket.writable) return;
+	const statusLine = code === "HPE_HEADER_OVERFLOW" ? overflowStatusLine(error) : "400 Bad Request";
+	socket.end(`HTTP/1.1 ${statusLine}\r\nConnection: close\r\nContent-Length: 0\r\n\r\n`);
+}
+/**
+* Le statut d'un `HPE_HEADER_OVERFLOW` : Node lève la même erreur pour une
+* cible trop longue et pour des en-têtes trop longs, alors que la norme les
+* distingue — 414 pour la cible (RFC 9112 §3), 431 pour les en-têtes
+* (RFC 6585 §5).
+*
+* Le parseur ne constate le débordement qu'à la FIN d'un élément (la cible,
+* une valeur d'en-tête), au point `bytesParsed` du paquet reçu (`rawPacket`).
+* Si la ligne de requête était finie, son `CRLF` — ou celui d'un en-tête —
+* précède ce point : ce sont les en-têtes qui débordent. Sinon, c'est la cible.
+* Constaté sur Node 26, en un paquet comme en plusieurs. Faute de ces deux
+* champs, 431 : le statut d'avant.
+*/
+function overflowStatusLine(error) {
+	const raw = "rawPacket" in error ? error.rawPacket : void 0;
+	const parsed = "bytesParsed" in error ? error.bytesParsed : void 0;
+	if (Buffer.isBuffer(raw) && typeof parsed === "number") {
+		const eol = raw.indexOf("\r\n");
+		if (eol === -1 || eol >= parsed) return "414 URI Too Long";
+	}
+	return "431 Request Header Fields Too Large";
 }
 /**
 * Gère l'event `sessionError` d'un serveur HTTP/2 (h2c ou TLS) : un pair PARTI

package/dist/nodefony/service/servers/server-h2c.js

@@ -1,10 +1,10 @@
-import { asServersConfig, configuredServerPort, isH2cEnabled } from "../../src/servers/kernelServers.js";
-import __decorate from "../../../_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
-import { handleSessionError } from "./clientError.js";
 import { createDrainTerminator } from "./serverShutdown.js";
-import { bindWithFallback, buildBindPlan, h2cPortConflict } from "../../src/servers/portBinder.js";
-import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorateParam.js";
+import { handleSessionError } from "./clientError.js";
 import { http2ServerLimits, setHttp2SessionTimeout } from "../../src/servers/http2Limits.js";
+import { bindWithFallback, buildBindPlan, h2cPortConflict } from "../../src/servers/portBinder.js";
+import { asServersConfig, configuredServerPort, isH2cEnabled } from "../../src/servers/kernelServers.js";
+import __decorateParam from "../../../_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorateParam.js";
+import __decorate from "../../../_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorate.js";
 import { BootConfigurationError, Inject, Service, nodefonyError } from "nodefony";
 import http2 from "node:http2";
 // nodefony/service/servers/server-h2c.ts