@nodefony/security 10.0.0-alpha.7 → 10.0.0-alpha.9

package/dist/_virtual/{_@oxc-project_runtime@0.150.0 → _@oxc-project_runtime@0.151.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.150.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.150.0 → _@oxc-project_runtime@0.151.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.150.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/index.js

@@ -77,8 +77,8 @@ import SecurityUserPassword from "./nodefony/command/security-user-password.js";
 import SecurityToken from "./nodefony/command/security-token.js";
 import { createSecurityAdminApi, parseAuditQuery, registerSecurityAdminApi } from "./nodefony/src/admin/SecurityAdminApi.js";
 import { registerUserRevocationCascade } from "./nodefony/src/admin/userRevocationCascade.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
 import { tokenStatusCriteria } from "./nodefony/src/token/tokenCriteria.js";
 import { AccessDeniedError } from "./nodefony/errors/AccessDeniedError.js";
 import "./nodefony/errors/index.js";

package/dist/nodefony/command/security-user-add.js

@@ -1,4 +1,4 @@
-import { CONSOLE_DATA_RUN_PROFILE, Command, askPasswordMasked } from "nodefony";
+import { AUTH_LOGIN_PATH, CONSOLE_DATA_RUN_PROFILE, Command, askPasswordMasked } from "nodefony";
 import { WeakPasswordError } from "@nodefony/user";
 //#region nodefony/command/security-user-add.ts
 const options = {
@@ -17,22 +17,6 @@ const ADMIN_ROLES = ["ROLE_ADMIN", "ROLE_NODEFONY_ADMIN"];
 /** Rôle de base, toujours proposé même si l'application n'en déclare aucun. */
 const ROLE_BASE = "ROLE_USER";
 /**
-* La route qui échange un compte contre une SESSION — le geste qui manquait.
-*
-* Créer un compte ne sert à rien tant qu'on ne sait pas s'en servir : mesuré,
-* 33 minutes d'un essai réel se sont passées entre un premier refus et
-* l'abandon, faute de savoir quoi appeler. La commande dit donc l'étape
-* suivante au moment où elle a un sens.
-*
-* ⚠️ La route est MONTÉE ailleurs — `mountSessionAuthRoutes` du module
-* framework — et ce paquet ne peut pas l'importer pour la lire (le montage est
-* conditionné au service `authFlow`, et la valeur ne vit dans aucune constante
-* exportée). La copie est donc assumée, et un test la CONFRONTE à la table du
-* controller : deux copies qui divergent en silence, c'est précisément ce
-* qu'on refuse.
-*/
-const AUTH_LOGIN_PATH = "/nodefony/security/api/auth/login";
-/**
 * `nodefony security:user:add [identifier]` — crée un compte utilisateur via le
 * service applicatif `users` (hash Argon2id fait par `UserService.createUser`,
 * jamais de mot de passe stocké en clair).
@@ -163,4 +147,4 @@ var SecurityUserAdd = class extends Command {
 	}
 };
 //#endregion
-export { AUTH_LOGIN_PATH, SecurityUserAdd as default };
+export { SecurityUserAdd as default };

package/dist/nodefony/command/security-user-password.js

@@ -1,4 +1,4 @@
-import { CONSOLE_DATA_RUN_PROFILE, Command, askPasswordMasked } from "nodefony";
+import { AUTH_LOGIN_PATH, CONSOLE_DATA_RUN_PROFILE, Command, askPasswordMasked } from "nodefony";
 import { USER_REVOKED_EVENT } from "@nodefony/user";
 //#region nodefony/command/security-user-password.ts
 const options = {
@@ -106,7 +106,7 @@ var SecurityUserPassword = class extends Command {
 			tenantId: null,
 			reason: "password_changed"
 		});
-		process.stdout.write(`\n${GREEN}✓ mot de passe changé${RESET} — ${BOLD}${user.identifier}${RESET}\n${DIM}  ses sessions et ses jetons sont révoqués : il devra se reconnecter.${RESET}\n${DIM}  connexion : POST /nodefony/security/api/auth/login${RESET}\n` + (opts.password ? `  ${YELLOW}⚠ mot de passe passé en argument — pense à purger l'historique shell${RESET}\n` : "") + "\n");
+		process.stdout.write(`\n${GREEN}✓ mot de passe changé${RESET} — ${BOLD}${user.identifier}${RESET}\n${DIM}  ses sessions et ses jetons sont révoqués : il devra se reconnecter.${RESET}\n${DIM}  connexion : POST ${AUTH_LOGIN_PATH}${RESET}\n` + (opts.password ? `  ${YELLOW}⚠ mot de passe passé en argument — pense à purger l'historique shell${RESET}\n` : "") + "\n");
 		return this;
 	}
 };

package/dist/nodefony/config/config.js

@@ -44,6 +44,7 @@ const areaSchema = z.strictObject({
 	stateless: z.boolean().default(false).describe("Stratégie d'identité AU-DESSUS du protocole (HTTP reste stateless par nature). false (défaut) : la zone PEUT tenir un registre serveur — la session n'est créée qu'AU LOGIN (jamais pour un anonyme, zéro alloc), cookie opaque révocable (BFF). true : aucun registre — chaque requête porte sa preuve complète (JWT/clé API), la session est ignorée même si un cookie est présent. ⚠️ Une zone destinée à un appelant NON-NAVIGATEUR (service partenaire, script, agent) doit être `true` : laissée à `false`, elle marche à l'essai — un navigateur ou un `curl -c` renvoie le cookie posé — puis échoue chez le vrai client, qui ne stocke rien et repart anonyme à chaque requête. Le symptôme est un 401 intermittent en production, que rien dans le code ne montre."),
 	mode: z.enum(["first", "all"]).default("first").describe("Chaîne d'authenticators : 'first' = le premier qui reconnaît la requête authentifie (ex. cookie OU bearer) ; 'all' = tous doivent passer (ex. mtls+jwt zone admin)."),
 	authenticators: z.array(z.string()).default([]).describe("Authenticators de la zone (sémantique selon `mode`). Validés au boot contre le registre."),
+	roles: z.array(z.string()).default([]).describe("Rôle(s) exigés PAR DÉFAUT dans la zone, en OU (l'un suffit ; hiérarchie comprise). Vide (défaut) = la zone n'exige qu'une identité, et toute route qu'elle couvre est ouverte à n'importe quel compte authentifié — c'est un défaut OUVERT, qu'une surface d'administration ne doit pas garder. Renseigné, le rôle s'applique à toute route de la zone qui ne décide PAS elle-même de son autorisation : une route gardée (`@IsGranted`, `@RequireScope`) et le pont du plan d'administration (qui résout un rôle par point d'entrée) gardent la main — sans quoi une zone fermée à l'administrateur écraserait un point d'entrée voulu accessible à son propriétaire (`me`, `sessions/mine`). Un refus ici est un 403 (authentifié, pas autorisé), jamais un 401."),
 	entryPoint: z.string().optional().describe("Route de login/redirect si non authentifié."),
 	host: z.string().optional().describe("Domaine/vhost de la zone (ex. admin.exemple.com). Omis = tous domaines."),
 	resource: z.string().optional().describe("URI canonique de la ressource protégée — l'AUDIENCE qu'un jeton doit porter pour être accepté ici (RFC 8707 §2). Obligatoire dès que la zone liste un authenticator de jetons TIERS (`external-jwt`), qui refuse de démarrer sans elle. C'est ce qui empêche un jeton valide, délivré au même porteur pour un AUTRE service, d'être rejoué sur celui-ci. Elle s'ÉCRIT et ne se dérive pas du `Host` : derrière un relais, ce que le processus croit être son adresse n'est pas ce que le client a demandé, et l'audience doit être exactement celle que le serveur d'autorisation a inscrite dans le jeton. Ex. « https://api.example.com/mcp »."),
@@ -207,7 +208,7 @@ const totpSchema = z.strictObject({
 	window: z.number().int().nonnegative().default(1).describe("Tolérance de dérive d'horloge (± N pas). RFC 6238 §5.2 : « at most one time step » → 1 [défaut]. Plus = surface d'attaque accrue."),
 	recoveryCodes: z.number().int().positive().default(10).describe("Nombre de codes de récupération générés à l'activation (NIST SP 800-63B « look-up secrets », usage unique, affichés 1×)."),
 	encryptionKey: z.string().optional().describe("Clé de chiffrement AES-256-GCM du secret TOTP au repos (fournie par l'app depuis env, ≥ 32 octets après décodage). Omise = clé éphémère dérivée + WARNING (dev mono-process) ; en prod multi-pod, REQUISE (un secret 2FA déchiffrable doit l'être par tous les pods, et jamais en clair)."),
-	store: z.string().default("auto").describe("Backend de stockage du secret : auto [défaut, forçable par `NF_STORE`] | memory | drizzle — plus tout backend ajouté par `registerTotpStore` (la liste qui fait foi est celle de l'écran Stores de Studio, pas ce texte). ⚠️ Contrairement aux sessions, aux jetons et aux passkeys, **seul @nodefony/drizzle fournit un store TOTP** : @nodefony/mongoose et @nodefony/redis n'en enregistrent pas. Sur une infra Mongo, `auto` ne trouve donc pas de backend durable et se replie sur `memory` (repli tracé au boot, et WARNING en production) : les secrets 2FA seraient perdus au redémarrage, verrouillant les utilisateurs hors de leur second facteur. Charger @nodefony/drizzle — même en sqlite local, à côté de Mongo — donne la persistance.")
+	store: z.string().default("auto").describe("Backend de stockage du secret : auto [défaut, forçable par `NF_STORE`] | memory | drizzle | mongoose — plus tout backend ajouté par `registerTotpStore` (la liste qui fait foi est celle de l'écran Stores de Studio, pas ce texte). Les deux backends DURABLES le portent : sur une infra SQL comme sur une infra Mongo, `auto` trouve un store persistant. ⚠️ @nodefony/redis n'en enregistre pas : avec Redis pour seule infra, `auto` se replie sur `memory` (repli tracé au boot, et WARNING en production) — les secrets 2FA seraient perdus au redémarrage, verrouillant les utilisateurs hors de leur second facteur.")
 }).describe("2FA TOTP (RFC 6238) — second facteur step-up au login. Secret chiffré au repos, codes de récupération hachés.");
 const remoteJwtAlgSchema = z.enum([
 	"RS256",
@@ -275,7 +276,7 @@ const webhooksSchema = z.strictObject({
 }).describe("Webhooks sortants signés (Standard Webhooks).");
 const auditSchema = z.strictObject({
 	enabled: z.boolean().default(true),
-	store: z.string().default("auto").describe("Store du journal (résolu via `auditStoreRegistry`). `auto` = suit l'infra database déclarée, repli memory (défaut) ; `memory` = per-pod, volatile, borné ; `drizzle` = persistant + partagé multi-pod (auto-register par l'adapter). Vocabulaire unifié : données = `store`."),
+	store: z.string().default("auto").describe("Store du journal (résolu via `auditStoreRegistry`). `auto` = suit l'infra database déclarée, repli memory (défaut) ; `memory` = per-pod, volatile, borné ; `drizzle` et `mongoose` = persistants + partagés multi-pod (auto-register par l'adapter chargé). @nodefony/redis n'en fournit pas : un journal croît sans borne et se consulte, ce n'est pas le motif d'accès d'un cache. Vocabulaire unifié : données = `store`."),
 	immutable: z.boolean().default(true).meta({
 		reserved: true,
 		description: "INERTE — l'immuabilité du journal vient du contrat `IAuditStore` (aucune méthode `update`/`delete`), pas de ce drapeau. Le passer à `false` n'ouvre aucune mutation."
@@ -336,7 +337,7 @@ const securityConfigSchema = z.strictObject({
 	encoders: z.record(z.string(), encoderSchema).default(() => ({ default: encoderSchema.parse({ type: "argon2id" }) })).describe("Chaîne d'encodeurs de mot de passe. 1re entrée = principal (hash à la création), suivantes = legacy en lecture seule (migration au login). Défaut : un argon2id sûr — le firewall en dérive le service `passwordEncoder`."),
 	roleHierarchy: z.record(z.string(), z.array(z.string())).default({}).describe("Hiérarchie de rôles (ROLE_ADMIN: ['ROLE_USER'])."),
 	areas: z.record(z.string(), areaSchema).default({}).describe("Zones sécurisées (firewall) par nom."),
-	realtimeChannels: z.array(realtimeChannelRuleSchema).default([]).describe("Politiques d'autorisation par préfixe sur le temps réel. Couvre les canaux WS (subscribe/inbound) **ET les actions RPC** : le nom de méthode d'une frame entrante est soumis aux mêmes règles de préfixe — une règle `admin:` garde donc aussi l'action `admin:purge`. Étend/surcharge les défauts système (syslog:/orm:/node:/dashboard:/debugbar:/realtime:/cluster: + :health/:stats = ROLE_ADMIN). Ce qui n'est couvert par aucune règle reste libre, sauf gating `@RealtimeChannel` côté controller."),
+	realtimeChannels: z.array(realtimeChannelRuleSchema).default([]).describe("Politiques d'autorisation par préfixe sur le temps réel. Couvre les canaux WS (subscribe/inbound) **ET les actions RPC** : le nom de méthode d'une frame entrante est soumis aux mêmes règles de préfixe — une règle `admin:` garde donc aussi l'action `admin:purge`. Étend/surcharge les défauts système (syslog:/orm:/node:/dashboard:/debugbar:/realtime:/cluster: + :health/:stats = ROLE_NODEFONY_ADMIN, l'échelle PLATEFORME : ces canaux exposent l'état du processus, pas celui d'une application). Ce qui n'est couvert par aucune règle reste libre, sauf gating `@RealtimeChannel` côté controller."),
 	cors: corsSchema.default(() => corsSchema.parse({})),
 	csrf: csrfSchema.default(() => csrfSchema.parse({})),
 	headers: headersSchema.default(() => headersSchema.parse({})),

package/dist/nodefony/service/auditService.js

@@ -1,6 +1,6 @@
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
 import { getAuditStoreFactory, listAuditStores } from "../src/audit/auditStoreRegistry.js";
-import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { randomBytes } from "node:crypto";
 //#region nodefony/service/auditService.ts
 const serviceName = "auditService";
@@ -78,7 +78,8 @@ var AuditService = class extends Service {
 			available: listAuditStores(),
 			reason,
 			configPath: "security.audit.store",
-			location: readStoreLocation(this.#store)
+			location: readStoreLocation(this.#store),
+			connector: readStoreConnector(this.#store)
 		});
 		this.#gc = new GcScheduler({
 			intervalS: GC_INTERVAL_MS / 1e3,

package/dist/nodefony/service/tokenService.js

@@ -6,7 +6,7 @@ import { recordAudit } from "../src/audit/recordAudit.js";
 import { InvalidTargetError } from "../errors/InvalidTargetError.js";
 import { getTokenStoreFactory, listTokenStores } from "../src/token/tokenStoreRegistry.js";
 import { JwtKeystore } from "../src/token/JwtKeystore.js";
-import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, canonicalIssuer, durableStoreRemedy, readStoreLocation, refusedAdminScopes, resolveAutoStore, runNeedsExternalServices } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, canonicalIssuer, durableStoreRemedy, readStoreConnector, readStoreLocation, refusedAdminScopes, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { createHash, randomBytes, randomUUID } from "node:crypto";
 //#region nodefony/service/tokenService.ts
 const serviceName = "tokenService";
@@ -84,7 +84,8 @@ var TokenService = class extends Service {
 			available: listTokenStores(),
 			reason,
 			configPath: "security.tokenStore.store",
-			location: readStoreLocation(this.#store)
+			location: readStoreLocation(this.#store),
+			connector: readStoreConnector(this.#store)
 		});
 		this.container?.set("tokenStore", this.#store);
 		if (jwtEnabled) {

package/dist/nodefony/service/totp.js

@@ -3,7 +3,7 @@ import { getTotpStoreFactory, listTotpStores } from "../src/totp/totpSecretStore
 import { generateEphemeralKey } from "../src/crypto/secretCipher.js";
 import { deriveTotpKey } from "../src/totp/totpCipher.js";
 import { beginTotpEnrollment, confirmTotpEnrollment, disableTotp, totpStatus, verifyTotpLogin } from "../src/totp/totpOperations.js";
-import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 //#region nodefony/service/totp.ts
 const serviceName = "totp";
 function isFlushable(s) {
@@ -83,7 +83,8 @@ var TotpService = class extends Service {
 				available: listTotpStores(),
 				reason: "adapter posé au container (infra database déclarée)",
 				configPath: "security.totp.store",
-				location: readStoreLocation(existing)
+				location: readStoreLocation(existing),
+				connector: readStoreConnector(existing)
 			});
 			return existing;
 		}
@@ -116,7 +117,8 @@ var TotpService = class extends Service {
 			available: listTotpStores(),
 			reason,
 			configPath: "security.totp.store",
-			location: readStoreLocation(store)
+			location: readStoreLocation(store),
+			connector: readStoreConnector(store)
 		});
 		return store;
 	}

package/dist/nodefony/service/webAuthn.js

@@ -2,7 +2,7 @@ import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
 import { WebAuthnError } from "../errors/WebAuthnError.js";
 import { getWebAuthnStoreFactory, listWebAuthnStores } from "../src/webauthn/webAuthnCredentialStoreRegistry.js";
-import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { Buffer } from "node:buffer";
 //#region nodefony/service/webAuthn.ts
 const serviceName = "webauthn";
@@ -102,7 +102,8 @@ var WebAuthnService = class extends Service {
 			available: listWebAuthnStores(),
 			reason,
 			configPath: "security.passkeys.store",
-			location: readStoreLocation(this.#store)
+			location: readStoreLocation(this.#store),
+			connector: readStoreConnector(this.#store)
 		});
 		if (config.passkeys.attestation !== "none") this.log(`passkeys.attestation "${config.passkeys.attestation}" — l'attestation est demandée au navigateur mais N'EST PAS VÉRIFIÉE : ni métadonnées FIDO (MDS), ni certificats racines fabricant, et l'AAGUID n'est pas conservé. Ce réglage ne tient donc pas un AAL3 régulé. Repasser à "none" si la garantie n'est pas requise.`, "WARNING");
 		if (config.passkeys.residentKey === "discouraged") this.log("passkeys.residentKey \"discouraged\" — les credentials enrôlés ne sont pas découvrables, or le login par passkey est usernameless (aucun ciblage depuis la requête, anti-énumération). Ces porteurs ne pourront pas se connecter : repasser à \"preferred\" ou \"required\".", "WARNING");

package/dist/nodefony/service/webhooks.js

@@ -6,7 +6,7 @@ import { deriveWebhookKey } from "../src/webhook/webhookCipher.js";
 import { assertPublicUrl } from "../src/net/ssrfGuard.js";
 import { WebhookDispatcher } from "../src/webhook/WebhookDispatcher.js";
 import { deliverWebhook } from "../src/webhook/webhookDelivery.js";
-import { AUTO_STORE, EMPTY_INFRA, Service, countFacets, deriveStoreBackend, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, Service, countFacets, deriveStoreBackend, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { randomBytes } from "node:crypto";
 import { Buffer } from "node:buffer";
 import { schemaMismatchOf } from "@nodefony/http";
@@ -146,7 +146,8 @@ var WebhookService = class extends Service {
 				available: listWebhookStores(),
 				reason: "adapter posé au container (infra database déclarée)",
 				configPath: "security.webhooks.store",
-				location: readStoreLocation(existing)
+				location: readStoreLocation(existing),
+				connector: readStoreConnector(existing)
 			});
 			return existing;
 		}
@@ -179,7 +180,8 @@ var WebhookService = class extends Service {
 			available: listWebhookStores(),
 			reason,
 			configPath: "security.webhooks.store",
-			location: readStoreLocation(store)
+			location: readStoreLocation(store),
+			connector: readStoreConnector(store)
 		});
 		return store;
 	}

package/dist/nodefony/src/SecuredArea.js

@@ -16,6 +16,12 @@ var SecuredArea = class {
 	host;
 	realtime;
 	resource;
+	/**
+	* Rôles exigés par défaut dans la zone, ou `null` quand elle n'en exige
+	* aucun. `null` plutôt qu'un tableau vide : le hot path teste une référence,
+	* et aucune zone ne porte de tableau qu'elle n'utilise pas.
+	*/
+	roles;
 	constructor(name, config) {
 		this.name = name;
 		this.pattern = new RegExp(config.pattern, "u");
@@ -26,6 +32,7 @@ var SecuredArea = class {
 		this.host = config.host;
 		this.realtime = config.realtime;
 		this.resource = config.resource;
+		this.roles = config.roles.length > 0 ? config.roles : null;
 	}
 	/**
 	* Cœur du match — pathname (+ host éventuel) déjà extraits, SANS `context`.

package/dist/nodefony/src/realtime/frameAuthorizer.js

@@ -2,13 +2,26 @@ import { NODEFONY_CHANNEL_NAMESPACE, PLATFORM_CHANNELS, PLATFORM_INBOUND, starts
 //#region nodefony/src/realtime/frameAuthorizer.ts
 /**
 * Politique système par défaut des canaux d'**introspection serveur** : réservés
-* aux administrateurs. DURCISSEMENT Zero Trust (P6) : avant, « authentifié
-* suffisait » (tout `ROLE_USER` lisait `nodefony:syslog`) ; désormais `ROLE_ADMIN`.
-* Surchargeable finement par `realtimeChannels` (ex. `ROLE_SECURITY_AUDITOR`).
+* à l'exploitant de l'INSTANCE, pas à l'administrateur d'une application.
+*
+* Ce que ces canaux exposent est l'état du **processus** — journaux, base,
+* métriques, supervision, et jusqu'au déclenchement d'un ramasse-miettes
+* bloquant. C'est l'échelle PLATEFORME, celle que le préfixe `ROLE_NODEFONY_*`
+* désigne : le seul rôle qui traverse l'isolation entre organisations
+* clientes. Un `ROLE_ADMIN` est, lui, destiné à être scopé à une organisation ;
+* le jour où plusieurs partagent une instance, il aurait lu la supervision du
+* processus qui les héberge toutes.
+*
+* Le canal d'audit ({@link SECURITY_CHANNEL_POLICY}) partage désormais cette
+* échelle — il ne se distingue plus par le rôle, mais par ce qu'il contient.
+*
+* Surchargeable finement par `realtimeChannels` : une application qui veut
+* ouvrir un de ces canaux à un rôle d'organisation le DÉCLARE, elle ne l'hérite
+* pas.
 */
 const SYSTEM_CHANNEL_POLICY = {
 	authenticated: true,
-	roles: ["ROLE_ADMIN"]
+	roles: ["ROLE_NODEFONY_ADMIN"]
 };
 /**
 * Namespace d'introspection serveur (observabilité) — s'y abonner expose l'état
@@ -24,11 +37,12 @@ const SYSTEM_CHANNEL_POLICY = {
 */
 const DEFAULT_SYSTEM_PREFIXES = [NODEFONY_CHANNEL_NAMESPACE];
 /**
-* Plancher des canaux de **sécurité** (`nodefony:audit`, P6.14 lot 4) : réservé au
-* super-admin Nodefony (`ROLE_NODEFONY_ADMIN`) — un cran AU-DESSUS du plancher
-* d'observabilité générique (`ROLE_ADMIN`). Le journal d'audit du pod ne se lit
-* pas avec un simple rôle admin applicatif. Cohérent avec le data plane HTTP de
-* l'audit (`SecurityAdminApi`, lot 3, même rôle).
+* Plancher des canaux de **sécurité** (`nodefony:audit`) : réservé à l'exploitant
+* de l'instance (`ROLE_NODEFONY_ADMIN`). Même échelle que
+* {@link SYSTEM_CHANNEL_POLICY} — le journal d'audit du pod n'est pas plus
+* exposé que sa supervision, et aucun des deux ne se lit avec un rôle
+* d'organisation. Cohérent avec le plan d'administration HTTP de l'audit
+* (`SecurityAdminApi`, même rôle).
 *
 * Multi-tenant (futur) : `nodefony:audit` reste un canal **plateforme** (pod),
 * jamais exposé à un user tenant ; l'événement portera le `tenantId` (via l'ALS)

package/dist/nodefony/src/token/MemoryTokenStore.js

@@ -17,6 +17,14 @@ function matchesTokenQuery(record, query, now) {
 	return true;
 }
 /**
+* Copie PROFONDE d'un record lu : `scopes`, `audience`, `resources`, `cnf` et
+* `metadata` sont mutables — rendre la référence laisserait l'appelant muter le
+* store en place, ce que les backends persistants rendent impossible.
+*/
+function cloneOrNull(record) {
+	return record ? structuredClone(record) : null;
+}
+/**
 * Store de jetons **en mémoire** — implémentation de référence d'{@link ITokenStore}.
 *
 * 0 dépendance, idéale pour le développement mono-process et les **tests**. NON
@@ -59,6 +67,11 @@ var MemoryTokenStore = class {
 		this.#retentionRevokedMs = retentionRevokedMs;
 	}
 	put(record) {
+		const owner = this.#idByHash.get(record.secretHash);
+		if (owner !== void 0 && owner !== record.id) return Promise.reject(/* @__PURE__ */ new Error(`secretHash déjà porté par le jeton ${owner} : un secret ne désigne qu'un jeton`));
+		const previous = this.#byId.get(record.id);
+		if (previous) this.#removeRecord(record.id, previous);
+		record = structuredClone(record);
 		this.#byId.set(record.id, record);
 		this.#idByHash.set(record.secretHash, record.id);
 		this.#addToIndex(this.#idsBySubject, record.subjectId, record.id);
@@ -66,11 +79,11 @@ var MemoryTokenStore = class {
 		return Promise.resolve();
 	}
 	findById(id) {
-		return Promise.resolve(this.#byId.get(id) ?? null);
+		return Promise.resolve(cloneOrNull(this.#byId.get(id)));
 	}
 	findByHash(secretHash) {
 		const id = this.#idByHash.get(secretHash);
-		return Promise.resolve(id !== void 0 ? this.#byId.get(id) ?? null : null);
+		return Promise.resolve(id !== void 0 ? cloneOrNull(this.#byId.get(id)) : null);
 	}
 	findBySubject(subjectId) {
 		const ids = this.#idsBySubject.get(subjectId);
@@ -78,12 +91,12 @@ var MemoryTokenStore = class {
 		const out = [];
 		for (const id of ids) {
 			const record = this.#byId.get(id);
-			if (record) out.push(record);
+			if (record) out.push(structuredClone(record));
 		}
 		return Promise.resolve(out);
 	}
 	listAll() {
-		return Promise.resolve([...this.#byId.values()]);
+		return Promise.resolve([...this.#byId.values()].map((r) => structuredClone(r)));
 	}
 	listPage(query) {
 		assertPageQuery(query, "offset");
@@ -93,7 +106,7 @@ var MemoryTokenStore = class {
 		const filtered = [...this.#byId.values()].filter((r) => matchesTokenQuery(r, query, now));
 		const order = pickOrder(query.order, this.sortableFields, TOKEN_DEFAULT_ORDER);
 		filtered.sort(compareByOrder(order, (r, field) => r[field]));
-		const items = filtered.slice(offset, offset + limit);
+		const items = filtered.slice(offset, offset + limit).map((r) => structuredClone(r));
 		const total = query.withTotal === false ? void 0 : filtered.length;
 		return Promise.resolve({
 			items,

package/dist/nodefony/src/totp/MemoryTotpSecretStore.js

@@ -37,21 +37,33 @@ function matchesTotpQuery(secret, query) {
 * un adapter ORM ou Redis. Perf : la `Map` n'existe que si le store est instancié
 * (2FA activé), jamais sur le hot path par requête.
 */
+/**
+* Copie d'un secret : `recoveryCodes` est un tableau mutable — rendre ou garder
+* la référence laisserait l'appelant rendre un code de secours réutilisable, ou
+* en effacer un, sans passer par le store.
+*/
+function cloneSecret(s) {
+	return {
+		...s,
+		recoveryCodes: [...s.recoveryCodes]
+	};
+}
 var MemoryTotpSecretStore = class {
 	/** userId → secret (source de vérité). */
 	#byUser = /* @__PURE__ */ new Map();
 	findByUser(userId) {
-		return Promise.resolve(this.#byUser.get(userId) ?? null);
+		const secret = this.#byUser.get(userId);
+		return Promise.resolve(secret ? cloneSecret(secret) : null);
 	}
 	save(secret) {
-		this.#byUser.set(secret.userId, secret);
+		this.#byUser.set(secret.userId, cloneSecret(secret));
 		return Promise.resolve();
 	}
 	update(userId, patch) {
 		const secret = this.#byUser.get(userId);
 		if (secret) {
 			if (patch.confirmedAt !== void 0) secret.confirmedAt = patch.confirmedAt;
-			if (patch.recoveryCodes !== void 0) secret.recoveryCodes = patch.recoveryCodes;
+			if (patch.recoveryCodes !== void 0) secret.recoveryCodes = [...patch.recoveryCodes];
 			if (patch.lastUsedStep !== void 0) secret.lastUsedStep = patch.lastUsedStep;
 			if (patch.lastUsedAt !== void 0) secret.lastUsedAt = patch.lastUsedAt;
 		}

package/dist/nodefony/src/webauthn/MemoryWebAuthnCredentialStore.js

@@ -18,13 +18,25 @@ function toWebAuthnSummary(c) {
 		...c.nickname !== void 0 ? { nickname: c.nickname } : {}
 	};
 }
+/**
+* Copie d'une passkey : `transports` est un tableau mutable — rendre ou garder
+* la référence laisserait l'appelant muter le store en place, ce que les
+* backends persistants rendent impossible par sérialisation.
+*/
+function cloneCredential(c) {
+	return {
+		...c,
+		transports: [...c.transports]
+	};
+}
 var MemoryWebAuthnCredentialStore = class {
 	/** id (base64url) → credential (source de vérité). */
 	#byId = /* @__PURE__ */ new Map();
 	/** userId → ids (allowCredentials + « mes appareils »). */
 	#idsByUser = /* @__PURE__ */ new Map();
 	findById(credentialId) {
-		return Promise.resolve(this.#byId.get(credentialId) ?? null);
+		const cred = this.#byId.get(credentialId);
+		return Promise.resolve(cred ? cloneCredential(cred) : null);
 	}
 	findByUser(userId) {
 		const ids = this.#idsByUser.get(userId);
@@ -32,7 +44,7 @@ var MemoryWebAuthnCredentialStore = class {
 		const out = [];
 		for (const id of ids) {
 			const cred = this.#byId.get(id);
-			if (cred) out.push(cred);
+			if (cred) out.push(cloneCredential(cred));
 		}
 		return Promise.resolve(out);
 	}
@@ -40,7 +52,9 @@ var MemoryWebAuthnCredentialStore = class {
 		return Promise.resolve(this.#idsByUser.get(userId)?.size ?? 0);
 	}
 	save(credential) {
-		this.#byId.set(credential.id, credential);
+		const previous = this.#byId.get(credential.id);
+		if (previous && previous.userId !== credential.userId) this.#unindex(previous.userId, credential.id);
+		this.#byId.set(credential.id, cloneCredential(credential));
 		let set = this.#idsByUser.get(credential.userId);
 		if (!set) {
 			set = /* @__PURE__ */ new Set();
@@ -63,12 +77,16 @@ var MemoryWebAuthnCredentialStore = class {
 		const cred = this.#byId.get(credentialId);
 		if (!cred) return Promise.resolve();
 		this.#byId.delete(credentialId);
-		const set = this.#idsByUser.get(cred.userId);
+		this.#unindex(cred.userId, credentialId);
+		return Promise.resolve();
+	}
+	/** Retire un id de l'index d'un porteur ; l'entrée vide disparaît. */
+	#unindex(userId, credentialId) {
+		const set = this.#idsByUser.get(userId);
 		if (set) {
 			set.delete(credentialId);
-			if (set.size === 0) this.#idsByUser.delete(cred.userId);
+			if (set.size === 0) this.#idsByUser.delete(userId);
 		}
-		return Promise.resolve();
 	}
 	/** Credentials filtrés, dans l'ordre contractuel (createdAt DESC, id ASC). */
 	#filtered(query) {

package/dist/nodefony/src/webhook/MemoryWebhookStore.js

@@ -27,6 +27,18 @@ function matchesWebhookQuery(e, query) {
 * Map indexée par id (O(1)). Les lectures renvoient une **copie défensive** : le
 * store détient la vérité, un consommateur ne peut pas muter un record en place.
 */
+/**
+* Copie PROFONDE d'un endpoint : `events` et `metadata` sont des structures
+* mutables — une copie de surface laisserait l'appelant muter le store en place,
+* ce que les backends persistants rendent impossible par sérialisation.
+*/
+function cloneEndpoint(e) {
+	return {
+		...e,
+		events: [...e.events],
+		metadata: structuredClone(e.metadata)
+	};
+}
 var MemoryWebhookStore = class {
 	/**
 	* {@inheritDoc IWebhookStore.sortableFields}
@@ -37,25 +49,25 @@ var MemoryWebhookStore = class {
 	sortableFields = WEBHOOK_SORTABLE_FIELDS;
 	#byId = /* @__PURE__ */ new Map();
 	async save(endpoint) {
-		this.#byId.set(endpoint.id, { ...endpoint });
+		this.#byId.set(endpoint.id, cloneEndpoint(endpoint));
 	}
 	async findById(id) {
 		const found = this.#byId.get(id);
-		return found ? { ...found } : null;
+		return found ? cloneEndpoint(found) : null;
 	}
 	async update(id, patch) {
 		const current = this.#byId.get(id);
 		if (!current) return;
-		this.#byId.set(id, {
+		this.#byId.set(id, cloneEndpoint({
 			...current,
 			...patch
-		});
+		}));
 	}
 	async delete(id) {
 		this.#byId.delete(id);
 	}
 	async listAll() {
-		return [...this.#byId.values()].map((e) => ({ ...e }));
+		return [...this.#byId.values()].map(cloneEndpoint);
 	}
 	async listPage(query) {
 		assertPageQuery(query, "offset");
@@ -64,11 +76,7 @@ var MemoryWebhookStore = class {
 		const filtered = [...this.#byId.values()].filter((e) => matchesWebhookQuery(e, query));
 		const order = pickOrder(query.order, this.sortableFields, WEBHOOK_DEFAULT_ORDER);
 		filtered.sort(compareByOrder(order, (e, field) => e[field]));
-		const items = filtered.slice(offset, offset + limit).map((e) => ({
-			...e,
-			events: [...e.events],
-			metadata: { ...e.metadata }
-		}));
+		const items = filtered.slice(offset, offset + limit).map(cloneEndpoint);
 		return {
 			items,
 			total: query.withTotal === false ? void 0 : filtered.length,

package/dist/types/nodefony/command/security-user-add.d.ts

@@ -1,20 +1,4 @@
 import { CliKernel, Command } from "nodefony";
-/**
- * La route qui échange un compte contre une SESSION — le geste qui manquait.
- *
- * Créer un compte ne sert à rien tant qu'on ne sait pas s'en servir : mesuré,
- * 33 minutes d'un essai réel se sont passées entre un premier refus et
- * l'abandon, faute de savoir quoi appeler. La commande dit donc l'étape
- * suivante au moment où elle a un sens.
- *
- * ⚠️ La route est MONTÉE ailleurs — `mountSessionAuthRoutes` du module
- * framework — et ce paquet ne peut pas l'importer pour la lire (le montage est
- * conditionné au service `authFlow`, et la valeur ne vit dans aucune constante
- * exportée). La copie est donc assumée, et un test la CONFRONTE à la table du
- * controller : deux copies qui divergent en silence, c'est précisément ce
- * qu'on refuse.
- */
-export declare const AUTH_LOGIN_PATH = "/nodefony/security/api/auth/login";
 /**
  * `nodefony security:user:add [identifier]` — crée un compte utilisateur via le
  * service applicatif `users` (hash Argon2id fait par `UserService.createUser`,

package/dist/types/nodefony/config/config.d.ts

@@ -8,6 +8,7 @@ declare const areaSchema: z.ZodObject<{
         first: "first";
     }>>;
     authenticators: z.ZodDefault<z.ZodArray<z.ZodString>>;
+    roles: z.ZodDefault<z.ZodArray<z.ZodString>>;
     entryPoint: z.ZodOptional<z.ZodString>;
     host: z.ZodOptional<z.ZodString>;
     resource: z.ZodOptional<z.ZodString>;
@@ -34,6 +35,7 @@ export declare const securityConfigSchema: z.ZodObject<{
             first: "first";
         }>>;
         authenticators: z.ZodDefault<z.ZodArray<z.ZodString>>;
+        roles: z.ZodDefault<z.ZodArray<z.ZodString>>;
         entryPoint: z.ZodOptional<z.ZodString>;
         host: z.ZodOptional<z.ZodString>;
         resource: z.ZodOptional<z.ZodString>;

package/dist/types/nodefony/contracts/IAuditEvent.d.ts

@@ -12,13 +12,13 @@
  * Sous-système de sécurité concerné — axe de filtrage principal de la console
  * d'audit (Studio P6.15). Fermé : la liste des sous-systèmes est stable.
  *
- * ⚠️ Quatre catégories sont RÉSERVÉES — déclarées au contrat mais **sans émetteur à
+ * ⚠️ Trois catégories sont RÉSERVÉES — déclarées au contrat mais **sans émetteur à
  * ce jour** (aucun `record({ category: … })` ne les produit) : `oauth`, `csrf`,
- * `cors`, `config`. La console Studio ne propose donc PAS de filtre pour elles (un
+ * `cors`. La console Studio ne propose donc PAS de filtre pour elles (un
  * filtre qui ne rend jamais rien induit en erreur — cf `studio/.../auditModel.ts`).
  * En câbler une = ajouter son émetteur ICI (l'émetteur), puis la métadonnée
  * d'affichage dans `AUDIT_CATEGORIES`. Émettent réellement : auth, authz, token,
- * session, webauthn, ws, webhook.
+ * session, webauthn, ws, webhook, config (`config.update`).
  */
 export type AuditCategory = "auth" | "authz" | "token" | "session" | "oauth" | "webauthn" | "csrf" | "cors" | "ws" | "webhook" | "config";
 /**

package/dist/types/nodefony/contracts/ISecuredArea.d.ts

@@ -52,6 +52,21 @@ export interface ISecuredArea {
      * verrou WS consulte la même zone que HTTP (invariant `api.request` ≤ `GET`).
      */
     readonly realtime: boolean;
+    /**
+     * Rôles exigés PAR DÉFAUT dans la zone — en OU, hiérarchie comprise —, ou
+     * `null` quand la zone n'exige qu'une identité.
+     *
+     * C'est le **filet** d'une surface d'administration : une route que personne
+     * n'a pensé à garder hérite du rôle de sa zone, au lieu d'être ouverte à
+     * n'importe quel compte authentifié. Une route qui décide elle-même de son
+     * autorisation — garde déclarée, ou pont du plan d'administration qui résout
+     * un rôle par point d'entrée — n'en dépend pas : c'est ce qui laisse exister
+     * un point d'entrée ouvert à son propriétaire (`me`, `sessions/mine`) dans
+     * une zone par ailleurs fermée.
+     *
+     * Un refus est un **403** (authentifié mais pas autorisé), jamais un 401.
+     */
+    readonly roles: readonly string[] | null;
     /** La requête tombe-t-elle dans cette zone ? (pattern + host éventuel). */
     match(context: ContextType): boolean;
 }