@nodefony/security 10.0.0-alpha.8 → 10.0.0-alpha.9

package/dist/_virtual/{_@oxc-project_runtime@0.150.0 → _@oxc-project_runtime@0.151.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.150.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.150.0 → _@oxc-project_runtime@0.151.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.150.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/index.js

@@ -77,8 +77,8 @@ import SecurityUserPassword from "./nodefony/command/security-user-password.js";
 import SecurityToken from "./nodefony/command/security-token.js";
 import { createSecurityAdminApi, parseAuditQuery, registerSecurityAdminApi } from "./nodefony/src/admin/SecurityAdminApi.js";
 import { registerUserRevocationCascade } from "./nodefony/src/admin/userRevocationCascade.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
 import { tokenStatusCriteria } from "./nodefony/src/token/tokenCriteria.js";
 import { AccessDeniedError } from "./nodefony/errors/AccessDeniedError.js";
 import "./nodefony/errors/index.js";

package/dist/nodefony/command/security-user-add.js

@@ -1,4 +1,4 @@
-import { CONSOLE_DATA_RUN_PROFILE, Command, askPasswordMasked } from "nodefony";
+import { AUTH_LOGIN_PATH, CONSOLE_DATA_RUN_PROFILE, Command, askPasswordMasked } from "nodefony";
 import { WeakPasswordError } from "@nodefony/user";
 //#region nodefony/command/security-user-add.ts
 const options = {
@@ -17,22 +17,6 @@ const ADMIN_ROLES = ["ROLE_ADMIN", "ROLE_NODEFONY_ADMIN"];
 /** Rôle de base, toujours proposé même si l'application n'en déclare aucun. */
 const ROLE_BASE = "ROLE_USER";
 /**
-* La route qui échange un compte contre une SESSION — le geste qui manquait.
-*
-* Créer un compte ne sert à rien tant qu'on ne sait pas s'en servir : mesuré,
-* 33 minutes d'un essai réel se sont passées entre un premier refus et
-* l'abandon, faute de savoir quoi appeler. La commande dit donc l'étape
-* suivante au moment où elle a un sens.
-*
-* ⚠️ La route est MONTÉE ailleurs — `mountSessionAuthRoutes` du module
-* framework — et ce paquet ne peut pas l'importer pour la lire (le montage est
-* conditionné au service `authFlow`, et la valeur ne vit dans aucune constante
-* exportée). La copie est donc assumée, et un test la CONFRONTE à la table du
-* controller : deux copies qui divergent en silence, c'est précisément ce
-* qu'on refuse.
-*/
-const AUTH_LOGIN_PATH = "/nodefony/security/api/auth/login";
-/**
 * `nodefony security:user:add [identifier]` — crée un compte utilisateur via le
 * service applicatif `users` (hash Argon2id fait par `UserService.createUser`,
 * jamais de mot de passe stocké en clair).
@@ -163,4 +147,4 @@ var SecurityUserAdd = class extends Command {
 	}
 };
 //#endregion
-export { AUTH_LOGIN_PATH, SecurityUserAdd as default };
+export { SecurityUserAdd as default };

package/dist/nodefony/command/security-user-password.js

@@ -1,4 +1,4 @@
-import { CONSOLE_DATA_RUN_PROFILE, Command, askPasswordMasked } from "nodefony";
+import { AUTH_LOGIN_PATH, CONSOLE_DATA_RUN_PROFILE, Command, askPasswordMasked } from "nodefony";
 import { USER_REVOKED_EVENT } from "@nodefony/user";
 //#region nodefony/command/security-user-password.ts
 const options = {
@@ -106,7 +106,7 @@ var SecurityUserPassword = class extends Command {
 			tenantId: null,
 			reason: "password_changed"
 		});
-		process.stdout.write(`\n${GREEN}✓ mot de passe changé${RESET} — ${BOLD}${user.identifier}${RESET}\n${DIM}  ses sessions et ses jetons sont révoqués : il devra se reconnecter.${RESET}\n${DIM}  connexion : POST /nodefony/security/api/auth/login${RESET}\n` + (opts.password ? `  ${YELLOW}⚠ mot de passe passé en argument — pense à purger l'historique shell${RESET}\n` : "") + "\n");
+		process.stdout.write(`\n${GREEN}✓ mot de passe changé${RESET} — ${BOLD}${user.identifier}${RESET}\n${DIM}  ses sessions et ses jetons sont révoqués : il devra se reconnecter.${RESET}\n${DIM}  connexion : POST ${AUTH_LOGIN_PATH}${RESET}\n` + (opts.password ? `  ${YELLOW}⚠ mot de passe passé en argument — pense à purger l'historique shell${RESET}\n` : "") + "\n");
 		return this;
 	}
 };

package/dist/nodefony/config/config.js

@@ -208,7 +208,7 @@ const totpSchema = z.strictObject({
 	window: z.number().int().nonnegative().default(1).describe("Tolérance de dérive d'horloge (± N pas). RFC 6238 §5.2 : « at most one time step » → 1 [défaut]. Plus = surface d'attaque accrue."),
 	recoveryCodes: z.number().int().positive().default(10).describe("Nombre de codes de récupération générés à l'activation (NIST SP 800-63B « look-up secrets », usage unique, affichés 1×)."),
 	encryptionKey: z.string().optional().describe("Clé de chiffrement AES-256-GCM du secret TOTP au repos (fournie par l'app depuis env, ≥ 32 octets après décodage). Omise = clé éphémère dérivée + WARNING (dev mono-process) ; en prod multi-pod, REQUISE (un secret 2FA déchiffrable doit l'être par tous les pods, et jamais en clair)."),
-	store: z.string().default("auto").describe("Backend de stockage du secret : auto [défaut, forçable par `NF_STORE`] | memory | drizzle — plus tout backend ajouté par `registerTotpStore` (la liste qui fait foi est celle de l'écran Stores de Studio, pas ce texte). ⚠️ Contrairement aux sessions, aux jetons et aux passkeys, **seul @nodefony/drizzle fournit un store TOTP** : @nodefony/mongoose et @nodefony/redis n'en enregistrent pas. Sur une infra Mongo, `auto` ne trouve donc pas de backend durable et se replie sur `memory` (repli tracé au boot, et WARNING en production) : les secrets 2FA seraient perdus au redémarrage, verrouillant les utilisateurs hors de leur second facteur. Charger @nodefony/drizzle — même en sqlite local, à côté de Mongo — donne la persistance.")
+	store: z.string().default("auto").describe("Backend de stockage du secret : auto [défaut, forçable par `NF_STORE`] | memory | drizzle | mongoose — plus tout backend ajouté par `registerTotpStore` (la liste qui fait foi est celle de l'écran Stores de Studio, pas ce texte). Les deux backends DURABLES le portent : sur une infra SQL comme sur une infra Mongo, `auto` trouve un store persistant. ⚠️ @nodefony/redis n'en enregistre pas : avec Redis pour seule infra, `auto` se replie sur `memory` (repli tracé au boot, et WARNING en production) — les secrets 2FA seraient perdus au redémarrage, verrouillant les utilisateurs hors de leur second facteur.")
 }).describe("2FA TOTP (RFC 6238) — second facteur step-up au login. Secret chiffré au repos, codes de récupération hachés.");
 const remoteJwtAlgSchema = z.enum([
 	"RS256",
@@ -276,7 +276,7 @@ const webhooksSchema = z.strictObject({
 }).describe("Webhooks sortants signés (Standard Webhooks).");
 const auditSchema = z.strictObject({
 	enabled: z.boolean().default(true),
-	store: z.string().default("auto").describe("Store du journal (résolu via `auditStoreRegistry`). `auto` = suit l'infra database déclarée, repli memory (défaut) ; `memory` = per-pod, volatile, borné ; `drizzle` = persistant + partagé multi-pod (auto-register par l'adapter). Vocabulaire unifié : données = `store`."),
+	store: z.string().default("auto").describe("Store du journal (résolu via `auditStoreRegistry`). `auto` = suit l'infra database déclarée, repli memory (défaut) ; `memory` = per-pod, volatile, borné ; `drizzle` et `mongoose` = persistants + partagés multi-pod (auto-register par l'adapter chargé). @nodefony/redis n'en fournit pas : un journal croît sans borne et se consulte, ce n'est pas le motif d'accès d'un cache. Vocabulaire unifié : données = `store`."),
 	immutable: z.boolean().default(true).meta({
 		reserved: true,
 		description: "INERTE — l'immuabilité du journal vient du contrat `IAuditStore` (aucune méthode `update`/`delete`), pas de ce drapeau. Le passer à `false` n'ouvre aucune mutation."

package/dist/nodefony/service/auditService.js

@@ -1,6 +1,6 @@
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
 import { getAuditStoreFactory, listAuditStores } from "../src/audit/auditStoreRegistry.js";
-import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { randomBytes } from "node:crypto";
 //#region nodefony/service/auditService.ts
 const serviceName = "auditService";
@@ -78,7 +78,8 @@ var AuditService = class extends Service {
 			available: listAuditStores(),
 			reason,
 			configPath: "security.audit.store",
-			location: readStoreLocation(this.#store)
+			location: readStoreLocation(this.#store),
+			connector: readStoreConnector(this.#store)
 		});
 		this.#gc = new GcScheduler({
 			intervalS: GC_INTERVAL_MS / 1e3,

package/dist/nodefony/service/tokenService.js

@@ -6,7 +6,7 @@ import { recordAudit } from "../src/audit/recordAudit.js";
 import { InvalidTargetError } from "../errors/InvalidTargetError.js";
 import { getTokenStoreFactory, listTokenStores } from "../src/token/tokenStoreRegistry.js";
 import { JwtKeystore } from "../src/token/JwtKeystore.js";
-import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, canonicalIssuer, durableStoreRemedy, readStoreLocation, refusedAdminScopes, resolveAutoStore, runNeedsExternalServices } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, canonicalIssuer, durableStoreRemedy, readStoreConnector, readStoreLocation, refusedAdminScopes, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { createHash, randomBytes, randomUUID } from "node:crypto";
 //#region nodefony/service/tokenService.ts
 const serviceName = "tokenService";
@@ -84,7 +84,8 @@ var TokenService = class extends Service {
 			available: listTokenStores(),
 			reason,
 			configPath: "security.tokenStore.store",
-			location: readStoreLocation(this.#store)
+			location: readStoreLocation(this.#store),
+			connector: readStoreConnector(this.#store)
 		});
 		this.container?.set("tokenStore", this.#store);
 		if (jwtEnabled) {

package/dist/nodefony/service/totp.js

@@ -3,7 +3,7 @@ import { getTotpStoreFactory, listTotpStores } from "../src/totp/totpSecretStore
 import { generateEphemeralKey } from "../src/crypto/secretCipher.js";
 import { deriveTotpKey } from "../src/totp/totpCipher.js";
 import { beginTotpEnrollment, confirmTotpEnrollment, disableTotp, totpStatus, verifyTotpLogin } from "../src/totp/totpOperations.js";
-import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 //#region nodefony/service/totp.ts
 const serviceName = "totp";
 function isFlushable(s) {
@@ -83,7 +83,8 @@ var TotpService = class extends Service {
 				available: listTotpStores(),
 				reason: "adapter posé au container (infra database déclarée)",
 				configPath: "security.totp.store",
-				location: readStoreLocation(existing)
+				location: readStoreLocation(existing),
+				connector: readStoreConnector(existing)
 			});
 			return existing;
 		}
@@ -116,7 +117,8 @@ var TotpService = class extends Service {
 			available: listTotpStores(),
 			reason,
 			configPath: "security.totp.store",
-			location: readStoreLocation(store)
+			location: readStoreLocation(store),
+			connector: readStoreConnector(store)
 		});
 		return store;
 	}

package/dist/nodefony/service/webAuthn.js

@@ -2,7 +2,7 @@ import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
 import { WebAuthnError } from "../errors/WebAuthnError.js";
 import { getWebAuthnStoreFactory, listWebAuthnStores } from "../src/webauthn/webAuthnCredentialStoreRegistry.js";
-import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, Service, deriveStoreBackend, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { Buffer } from "node:buffer";
 //#region nodefony/service/webAuthn.ts
 const serviceName = "webauthn";
@@ -102,7 +102,8 @@ var WebAuthnService = class extends Service {
 			available: listWebAuthnStores(),
 			reason,
 			configPath: "security.passkeys.store",
-			location: readStoreLocation(this.#store)
+			location: readStoreLocation(this.#store),
+			connector: readStoreConnector(this.#store)
 		});
 		if (config.passkeys.attestation !== "none") this.log(`passkeys.attestation "${config.passkeys.attestation}" — l'attestation est demandée au navigateur mais N'EST PAS VÉRIFIÉE : ni métadonnées FIDO (MDS), ni certificats racines fabricant, et l'AAGUID n'est pas conservé. Ce réglage ne tient donc pas un AAL3 régulé. Repasser à "none" si la garantie n'est pas requise.`, "WARNING");
 		if (config.passkeys.residentKey === "discouraged") this.log("passkeys.residentKey \"discouraged\" — les credentials enrôlés ne sont pas découvrables, or le login par passkey est usernameless (aucun ciblage depuis la requête, anti-énumération). Ces porteurs ne pourront pas se connecter : repasser à \"preferred\" ou \"required\".", "WARNING");

package/dist/nodefony/service/webhooks.js

@@ -6,7 +6,7 @@ import { deriveWebhookKey } from "../src/webhook/webhookCipher.js";
 import { assertPublicUrl } from "../src/net/ssrfGuard.js";
 import { WebhookDispatcher } from "../src/webhook/WebhookDispatcher.js";
 import { deliverWebhook } from "../src/webhook/webhookDelivery.js";
-import { AUTO_STORE, EMPTY_INFRA, Service, countFacets, deriveStoreBackend, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, Service, countFacets, deriveStoreBackend, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
 import { randomBytes } from "node:crypto";
 import { Buffer } from "node:buffer";
 import { schemaMismatchOf } from "@nodefony/http";
@@ -146,7 +146,8 @@ var WebhookService = class extends Service {
 				available: listWebhookStores(),
 				reason: "adapter posé au container (infra database déclarée)",
 				configPath: "security.webhooks.store",
-				location: readStoreLocation(existing)
+				location: readStoreLocation(existing),
+				connector: readStoreConnector(existing)
 			});
 			return existing;
 		}
@@ -179,7 +180,8 @@ var WebhookService = class extends Service {
 			available: listWebhookStores(),
 			reason,
 			configPath: "security.webhooks.store",
-			location: readStoreLocation(store)
+			location: readStoreLocation(store),
+			connector: readStoreConnector(store)
 		});
 		return store;
 	}

package/dist/nodefony/src/token/MemoryTokenStore.js

@@ -17,6 +17,14 @@ function matchesTokenQuery(record, query, now) {
 	return true;
 }
 /**
+* Copie PROFONDE d'un record lu : `scopes`, `audience`, `resources`, `cnf` et
+* `metadata` sont mutables — rendre la référence laisserait l'appelant muter le
+* store en place, ce que les backends persistants rendent impossible.
+*/
+function cloneOrNull(record) {
+	return record ? structuredClone(record) : null;
+}
+/**
 * Store de jetons **en mémoire** — implémentation de référence d'{@link ITokenStore}.
 *
 * 0 dépendance, idéale pour le développement mono-process et les **tests**. NON
@@ -59,6 +67,11 @@ var MemoryTokenStore = class {
 		this.#retentionRevokedMs = retentionRevokedMs;
 	}
 	put(record) {
+		const owner = this.#idByHash.get(record.secretHash);
+		if (owner !== void 0 && owner !== record.id) return Promise.reject(/* @__PURE__ */ new Error(`secretHash déjà porté par le jeton ${owner} : un secret ne désigne qu'un jeton`));
+		const previous = this.#byId.get(record.id);
+		if (previous) this.#removeRecord(record.id, previous);
+		record = structuredClone(record);
 		this.#byId.set(record.id, record);
 		this.#idByHash.set(record.secretHash, record.id);
 		this.#addToIndex(this.#idsBySubject, record.subjectId, record.id);
@@ -66,11 +79,11 @@ var MemoryTokenStore = class {
 		return Promise.resolve();
 	}
 	findById(id) {
-		return Promise.resolve(this.#byId.get(id) ?? null);
+		return Promise.resolve(cloneOrNull(this.#byId.get(id)));
 	}
 	findByHash(secretHash) {
 		const id = this.#idByHash.get(secretHash);
-		return Promise.resolve(id !== void 0 ? this.#byId.get(id) ?? null : null);
+		return Promise.resolve(id !== void 0 ? cloneOrNull(this.#byId.get(id)) : null);
 	}
 	findBySubject(subjectId) {
 		const ids = this.#idsBySubject.get(subjectId);
@@ -78,12 +91,12 @@ var MemoryTokenStore = class {
 		const out = [];
 		for (const id of ids) {
 			const record = this.#byId.get(id);
-			if (record) out.push(record);
+			if (record) out.push(structuredClone(record));
 		}
 		return Promise.resolve(out);
 	}
 	listAll() {
-		return Promise.resolve([...this.#byId.values()]);
+		return Promise.resolve([...this.#byId.values()].map((r) => structuredClone(r)));
 	}
 	listPage(query) {
 		assertPageQuery(query, "offset");
@@ -93,7 +106,7 @@ var MemoryTokenStore = class {
 		const filtered = [...this.#byId.values()].filter((r) => matchesTokenQuery(r, query, now));
 		const order = pickOrder(query.order, this.sortableFields, TOKEN_DEFAULT_ORDER);
 		filtered.sort(compareByOrder(order, (r, field) => r[field]));
-		const items = filtered.slice(offset, offset + limit);
+		const items = filtered.slice(offset, offset + limit).map((r) => structuredClone(r));
 		const total = query.withTotal === false ? void 0 : filtered.length;
 		return Promise.resolve({
 			items,

package/dist/nodefony/src/totp/MemoryTotpSecretStore.js

@@ -37,21 +37,33 @@ function matchesTotpQuery(secret, query) {
 * un adapter ORM ou Redis. Perf : la `Map` n'existe que si le store est instancié
 * (2FA activé), jamais sur le hot path par requête.
 */
+/**
+* Copie d'un secret : `recoveryCodes` est un tableau mutable — rendre ou garder
+* la référence laisserait l'appelant rendre un code de secours réutilisable, ou
+* en effacer un, sans passer par le store.
+*/
+function cloneSecret(s) {
+	return {
+		...s,
+		recoveryCodes: [...s.recoveryCodes]
+	};
+}
 var MemoryTotpSecretStore = class {
 	/** userId → secret (source de vérité). */
 	#byUser = /* @__PURE__ */ new Map();
 	findByUser(userId) {
-		return Promise.resolve(this.#byUser.get(userId) ?? null);
+		const secret = this.#byUser.get(userId);
+		return Promise.resolve(secret ? cloneSecret(secret) : null);
 	}
 	save(secret) {
-		this.#byUser.set(secret.userId, secret);
+		this.#byUser.set(secret.userId, cloneSecret(secret));
 		return Promise.resolve();
 	}
 	update(userId, patch) {
 		const secret = this.#byUser.get(userId);
 		if (secret) {
 			if (patch.confirmedAt !== void 0) secret.confirmedAt = patch.confirmedAt;
-			if (patch.recoveryCodes !== void 0) secret.recoveryCodes = patch.recoveryCodes;
+			if (patch.recoveryCodes !== void 0) secret.recoveryCodes = [...patch.recoveryCodes];
 			if (patch.lastUsedStep !== void 0) secret.lastUsedStep = patch.lastUsedStep;
 			if (patch.lastUsedAt !== void 0) secret.lastUsedAt = patch.lastUsedAt;
 		}

package/dist/nodefony/src/webauthn/MemoryWebAuthnCredentialStore.js

@@ -18,13 +18,25 @@ function toWebAuthnSummary(c) {
 		...c.nickname !== void 0 ? { nickname: c.nickname } : {}
 	};
 }
+/**
+* Copie d'une passkey : `transports` est un tableau mutable — rendre ou garder
+* la référence laisserait l'appelant muter le store en place, ce que les
+* backends persistants rendent impossible par sérialisation.
+*/
+function cloneCredential(c) {
+	return {
+		...c,
+		transports: [...c.transports]
+	};
+}
 var MemoryWebAuthnCredentialStore = class {
 	/** id (base64url) → credential (source de vérité). */
 	#byId = /* @__PURE__ */ new Map();
 	/** userId → ids (allowCredentials + « mes appareils »). */
 	#idsByUser = /* @__PURE__ */ new Map();
 	findById(credentialId) {
-		return Promise.resolve(this.#byId.get(credentialId) ?? null);
+		const cred = this.#byId.get(credentialId);
+		return Promise.resolve(cred ? cloneCredential(cred) : null);
 	}
 	findByUser(userId) {
 		const ids = this.#idsByUser.get(userId);
@@ -32,7 +44,7 @@ var MemoryWebAuthnCredentialStore = class {
 		const out = [];
 		for (const id of ids) {
 			const cred = this.#byId.get(id);
-			if (cred) out.push(cred);
+			if (cred) out.push(cloneCredential(cred));
 		}
 		return Promise.resolve(out);
 	}
@@ -40,7 +52,9 @@ var MemoryWebAuthnCredentialStore = class {
 		return Promise.resolve(this.#idsByUser.get(userId)?.size ?? 0);
 	}
 	save(credential) {
-		this.#byId.set(credential.id, credential);
+		const previous = this.#byId.get(credential.id);
+		if (previous && previous.userId !== credential.userId) this.#unindex(previous.userId, credential.id);
+		this.#byId.set(credential.id, cloneCredential(credential));
 		let set = this.#idsByUser.get(credential.userId);
 		if (!set) {
 			set = /* @__PURE__ */ new Set();
@@ -63,12 +77,16 @@ var MemoryWebAuthnCredentialStore = class {
 		const cred = this.#byId.get(credentialId);
 		if (!cred) return Promise.resolve();
 		this.#byId.delete(credentialId);
-		const set = this.#idsByUser.get(cred.userId);
+		this.#unindex(cred.userId, credentialId);
+		return Promise.resolve();
+	}
+	/** Retire un id de l'index d'un porteur ; l'entrée vide disparaît. */
+	#unindex(userId, credentialId) {
+		const set = this.#idsByUser.get(userId);
 		if (set) {
 			set.delete(credentialId);
-			if (set.size === 0) this.#idsByUser.delete(cred.userId);
+			if (set.size === 0) this.#idsByUser.delete(userId);
 		}
-		return Promise.resolve();
 	}
 	/** Credentials filtrés, dans l'ordre contractuel (createdAt DESC, id ASC). */
 	#filtered(query) {

package/dist/nodefony/src/webhook/MemoryWebhookStore.js

@@ -27,6 +27,18 @@ function matchesWebhookQuery(e, query) {
 * Map indexée par id (O(1)). Les lectures renvoient une **copie défensive** : le
 * store détient la vérité, un consommateur ne peut pas muter un record en place.
 */
+/**
+* Copie PROFONDE d'un endpoint : `events` et `metadata` sont des structures
+* mutables — une copie de surface laisserait l'appelant muter le store en place,
+* ce que les backends persistants rendent impossible par sérialisation.
+*/
+function cloneEndpoint(e) {
+	return {
+		...e,
+		events: [...e.events],
+		metadata: structuredClone(e.metadata)
+	};
+}
 var MemoryWebhookStore = class {
 	/**
 	* {@inheritDoc IWebhookStore.sortableFields}
@@ -37,25 +49,25 @@ var MemoryWebhookStore = class {
 	sortableFields = WEBHOOK_SORTABLE_FIELDS;
 	#byId = /* @__PURE__ */ new Map();
 	async save(endpoint) {
-		this.#byId.set(endpoint.id, { ...endpoint });
+		this.#byId.set(endpoint.id, cloneEndpoint(endpoint));
 	}
 	async findById(id) {
 		const found = this.#byId.get(id);
-		return found ? { ...found } : null;
+		return found ? cloneEndpoint(found) : null;
 	}
 	async update(id, patch) {
 		const current = this.#byId.get(id);
 		if (!current) return;
-		this.#byId.set(id, {
+		this.#byId.set(id, cloneEndpoint({
 			...current,
 			...patch
-		});
+		}));
 	}
 	async delete(id) {
 		this.#byId.delete(id);
 	}
 	async listAll() {
-		return [...this.#byId.values()].map((e) => ({ ...e }));
+		return [...this.#byId.values()].map(cloneEndpoint);
 	}
 	async listPage(query) {
 		assertPageQuery(query, "offset");
@@ -64,11 +76,7 @@ var MemoryWebhookStore = class {
 		const filtered = [...this.#byId.values()].filter((e) => matchesWebhookQuery(e, query));
 		const order = pickOrder(query.order, this.sortableFields, WEBHOOK_DEFAULT_ORDER);
 		filtered.sort(compareByOrder(order, (e, field) => e[field]));
-		const items = filtered.slice(offset, offset + limit).map((e) => ({
-			...e,
-			events: [...e.events],
-			metadata: { ...e.metadata }
-		}));
+		const items = filtered.slice(offset, offset + limit).map(cloneEndpoint);
 		return {
 			items,
 			total: query.withTotal === false ? void 0 : filtered.length,

package/dist/types/nodefony/command/security-user-add.d.ts

@@ -1,20 +1,4 @@
 import { CliKernel, Command } from "nodefony";
-/**
- * La route qui échange un compte contre une SESSION — le geste qui manquait.
- *
- * Créer un compte ne sert à rien tant qu'on ne sait pas s'en servir : mesuré,
- * 33 minutes d'un essai réel se sont passées entre un premier refus et
- * l'abandon, faute de savoir quoi appeler. La commande dit donc l'étape
- * suivante au moment où elle a un sens.
- *
- * ⚠️ La route est MONTÉE ailleurs — `mountSessionAuthRoutes` du module
- * framework — et ce paquet ne peut pas l'importer pour la lire (le montage est
- * conditionné au service `authFlow`, et la valeur ne vit dans aucune constante
- * exportée). La copie est donc assumée, et un test la CONFRONTE à la table du
- * controller : deux copies qui divergent en silence, c'est précisément ce
- * qu'on refuse.
- */
-export declare const AUTH_LOGIN_PATH = "/nodefony/security/api/auth/login";
 /**
  * `nodefony security:user:add [identifier]` — crée un compte utilisateur via le
  * service applicatif `users` (hash Argon2id fait par `UserService.createUser`,

package/dist/types/nodefony/contracts/IAuditEvent.d.ts

@@ -12,13 +12,13 @@
  * Sous-système de sécurité concerné — axe de filtrage principal de la console
  * d'audit (Studio P6.15). Fermé : la liste des sous-systèmes est stable.
  *
- * ⚠️ Quatre catégories sont RÉSERVÉES — déclarées au contrat mais **sans émetteur à
+ * ⚠️ Trois catégories sont RÉSERVÉES — déclarées au contrat mais **sans émetteur à
  * ce jour** (aucun `record({ category: … })` ne les produit) : `oauth`, `csrf`,
- * `cors`, `config`. La console Studio ne propose donc PAS de filtre pour elles (un
+ * `cors`. La console Studio ne propose donc PAS de filtre pour elles (un
  * filtre qui ne rend jamais rien induit en erreur — cf `studio/.../auditModel.ts`).
  * En câbler une = ajouter son émetteur ICI (l'émetteur), puis la métadonnée
  * d'affichage dans `AUDIT_CATEGORIES`. Émettent réellement : auth, authz, token,
- * session, webauthn, ws, webhook.
+ * session, webauthn, ws, webhook, config (`config.update`).
  */
 export type AuditCategory = "auth" | "authz" | "token" | "session" | "oauth" | "webauthn" | "csrf" | "cors" | "ws" | "webhook" | "config";
 /**

package/dist/types/nodefony/src/totp/MemoryTotpSecretStore.d.ts

@@ -16,15 +16,6 @@ export declare function matchesTotpQuery(secret: ITotpSecret, query: ITotpListQu
 export interface TotpStoreSnapshot {
     secrets: ITotpSecret[];
 }
-/**
- * Store de secrets TOTP **en mémoire** — implémentation de référence
- * d'{@link ITotpSecretStore}. Clé = `userId` (un secret par utilisateur).
- *
- * 0 dépendance, idéale pour le développement mono-process et les **tests**. NON
- * partagée entre process et **volatile** → en production multi-process, utiliser
- * un adapter ORM ou Redis. Perf : la `Map` n'existe que si le store est instancié
- * (2FA activé), jamais sur le hot path par requête.
- */
 export declare class MemoryTotpSecretStore implements ITotpSecretStore {
     #private;
     findByUser(userId: string): Promise<ITotpSecret | null>;

package/dist/types/nodefony/src/webhook/MemoryWebhookStore.d.ts

@@ -10,14 +10,6 @@ import type { IWebhookEndpoint, WebhookEndpointUpdate } from "../../contracts/IW
  * @returns `true` si l'endpoint appartient à la collection filtrée.
  */
 export declare function matchesWebhookQuery(e: IWebhookEndpoint, query: IWebhookListQuery): boolean;
-/**
- * Store d'endpoints webhook **en mémoire** — défaut dev/test (non persistant :
- * les endpoints sont perdus au redémarrage). En prod, utiliser `drizzle`/
- * `mongoose` (config `webhooks.store`).
- *
- * Map indexée par id (O(1)). Les lectures renvoient une **copie défensive** : le
- * store détient la vérité, un consommateur ne peut pas muter un record en place.
- */
 export declare class MemoryWebhookStore implements IWebhookStore {
     #private;
     /**