@nodefony/security 10.0.0-alpha.8 → 10.0.0-beta.1

package/dist/nodefony/src/authenticator/SessionAuthenticator.js

@@ -13,9 +13,11 @@ import { UserToken } from "../token/UserToken.js";
 * démarre jamais rien lui-même. L'identité est re-résolue à CHAQUE requête
 * via {@link resolveSessionIdentity} (rôles frais, révocation immédiate).
 *
-* Pas de `challenge()` : une session absente/expirée donne un 401 nu — le
-* client web redirige vers son écran de login, jamais de popup Basic. Si la
-* zone liste aussi `userpassword`, le firewall pose SON challenge (RFC 7235).
+* Pas de `challenge()` : sur une zone à session seule, le firewall pose son
+* défi de repli `Session realm="nodefony"` (RFC 9110 §15.5.2 : tout 401 en
+* porte un) — schéma inconnu des navigateurs, donc jamais de popup Basic ; le
+* client web redirige vers son écran de login. Si la zone liste aussi
+* `userpassword`, le firewall pose SON challenge.
 */
 var SessionAuthenticator = class {
 	name = "session";

package/dist/nodefony/src/authenticator/UserPasswordAuthenticator.js

@@ -35,12 +35,12 @@ var UserPasswordAuthenticator = class {
 	}
 	/** La requête porte-t-elle un en-tête `Authorization: Basic ...` ? */
 	supports(context) {
-		const auth = context.request?.headers?.authorization;
+		const auth = context.request?.headers.authorization;
 		return typeof auth === "string" && BASIC_SCHEME.test(auth);
 	}
 	/** Décode l'enveloppe Basic — un contenu malformé donne un credential vide (échec uniforme). */
 	createToken(context) {
-		const auth = context.request?.headers?.authorization;
+		const auth = context.request?.headers.authorization;
 		const decoded = Buffer.from(auth.replace(BASIC_SCHEME, ""), "base64").toString("utf8");
 		const sep = decoded.indexOf(":");
 		const credentials = sep > 0 ? {

package/dist/nodefony/src/csp.js

@@ -7,10 +7,9 @@
 function parseCsp(csp) {
 	const out = [];
 	for (const part of csp.split(";")) {
-		const tokens = part.trim().split(/\s+/).filter(Boolean);
-		if (tokens.length === 0) continue;
-		const name = tokens[0];
-		out.push([name, tokens.slice(1)]);
+		const [name, ...sources] = part.trim().split(/\s+/).filter(Boolean);
+		if (name === void 0) continue;
+		out.push([name, sources]);
 	}
 	return out;
 }
@@ -39,7 +38,7 @@ function mergeCspFragments(base, fragments) {
 	for (const [name, src] of directives) index.set(name, src);
 	for (const fragment of fragments) for (const name in fragment) {
 		const additions = fragment[name];
-		if (additions.length === 0) continue;
+		if (additions === void 0 || additions.length === 0) continue;
 		let sources = index.get(name);
 		if (!sources) {
 			sources = [];

package/dist/nodefony/src/oauth/providers/github.js

@@ -69,7 +69,7 @@ function createGithubProvider(ctx) {
 			let emailVerified = email !== null;
 			if (email === null) {
 				const list = await ghGet(`${API}/user/emails`, accessToken);
-				const primary = list.find((e) => e.primary === true) ?? list[0] ?? null;
+				const primary = list.find((e) => e.primary === true) ?? list.at(0) ?? null;
 				if (primary && typeof primary.email === "string") {
 					email = primary.email;
 					emailVerified = primary.verified === true;

package/dist/nodefony/src/realtime/frameAuthorizer.js

@@ -161,7 +161,7 @@ function containsCI(s, needle) {
 * pas en altérant la casse du namespace.
 */
 function matchSystemPolicy(channel, rules) {
-	for (let i = 0; i < rules.length; i++) if (startsWithCI(channel, rules[i].prefix)) return floorReserved(channel, rules[i].policy);
+	for (const rule of rules) if (startsWithCI(channel, rule.prefix)) return floorReserved(channel, rule.policy);
 	if (containsCI(channel, ":health") || containsCI(channel, ":stats")) return SYSTEM_CHANNEL_POLICY;
 	return null;
 }
@@ -178,7 +178,7 @@ function matchSystemPolicy(channel, rules) {
 */
 function floorReserved(channel, policy) {
 	if (policy.authenticated) return policy;
-	for (let i = 0; i < RESERVED_FLOOR_PREFIXES.length; i++) if (startsWithCI(channel, RESERVED_FLOOR_PREFIXES[i])) return {
+	for (const prefix of RESERVED_FLOOR_PREFIXES) if (startsWithCI(channel, prefix)) return {
 		...policy,
 		authenticated: true
 	};
@@ -197,7 +197,7 @@ function satisfies(policy, token, firewall) {
 	if (policy.roles && policy.roles.length > 0) {
 		const userRoles = token.getRoles();
 		let granted = false;
-		for (let i = 0; i < policy.roles.length; i++) if (firewall.hasRole(userRoles, policy.roles[i])) {
+		for (const role of policy.roles) if (firewall.hasRole(userRoles, role)) {
 			granted = true;
 			break;
 		}
@@ -206,7 +206,7 @@ function satisfies(policy, token, firewall) {
 	if (policy.scopes && policy.scopes.length > 0) {
 		const userScopes = token.getScopes();
 		let granted = false;
-		for (let i = 0; i < policy.scopes.length; i++) if (userScopes.includes(policy.scopes[i])) {
+		for (const scope of policy.scopes) if (userScopes.includes(scope)) {
 			granted = true;
 			break;
 		}
@@ -279,9 +279,9 @@ function buildFrameAuthorizer(firewall, options) {
 	return (frame, token) => {
 		const f = frame;
 		const method = f?.method;
-		if (method === "api.request") return authorizeApiRequest(firewall, f.params, token, onDeny);
+		if (method === "api.request") return authorizeApiRequest(firewall, f?.params, token, onDeny);
 		if (method === "subscribe") {
-			const channel = f.params?.channel;
+			const channel = (f?.params)?.channel;
 			if (typeof channel !== "string") return true;
 			return authorizeChannel(channel, token, firewall, resolver, systemRules, onDeny);
 		}

package/dist/nodefony/src/token/JwtKeystore.js

@@ -31,7 +31,7 @@ const CLEANED_DIRS = ["var", "tmp"];
 function keystoreLeaksIntoImage(dir) {
 	const normalized = dir.replace(/\\/gu, "/").replace(/^\.\//u, "");
 	if (normalized.startsWith("/") || /^[A-Za-z]:/u.test(normalized)) return null;
-	const first = normalized.split("/")[0];
+	const [first = ""] = normalized.split("/");
 	if (CLEANED_DIRS.includes(first)) return null;
 	return `JWT keystore: « ${dir} » n'est PAS sous ${CLEANED_DIRS.map((d) => `\`${d}/\``).join(" ni ")}, les seuls dossiers que le Dockerfile généré efface avant de fabriquer l'image. La clé privée de signature partira donc dans ton image de conteneur, où elle reste lisible par quiconque la télécharge — même effacée par une couche suivante. Deux issues : déplacer le dossier sous \`var/\` (ex. \`var/keys\`), ou injecter la clé par jwt.keystore.keySetJson depuis l'environnement, ce qui est la voie de production.`;
 }
@@ -138,9 +138,9 @@ var JwtKeystore = class {
 				kid: stored.kid,
 				privateKey: imported,
 				publicJwk: {
-					kty: stored.kty,
-					crv: stored.crv,
-					x: stored.x,
+					...stored.kty !== void 0 && { kty: stored.kty },
+					...stored.crv !== void 0 && { crv: stored.crv },
+					...stored.x !== void 0 && { x: stored.x },
 					kid: stored.kid,
 					use: "sig",
 					alg: "EdDSA"
@@ -148,9 +148,10 @@ var JwtKeystore = class {
 				createdAt: stored.createdAt ?? Date.now()
 			});
 		}
-		if (loaded.length === 0) throw new Error("JwtKeystore: keyset vide");
+		const [firstKey] = loaded;
+		if (firstKey === void 0) throw new Error("JwtKeystore: keyset vide");
 		this.#keys = loaded;
-		this.#activeKid = keyset.active && loaded.some((k) => k.kid === keyset.active) ? keyset.active : loaded[0].kid;
+		this.#activeKid = keyset.active && loaded.some((k) => k.kid === keyset.active) ? keyset.active : firstKey.kid;
 	}
 	#parseKeyset(json) {
 		let parsed;

package/dist/nodefony/src/token/MemoryTokenStore.js

@@ -17,6 +17,14 @@ function matchesTokenQuery(record, query, now) {
 	return true;
 }
 /**
+* Copie PROFONDE d'un record lu : `scopes`, `audience`, `resources`, `cnf` et
+* `metadata` sont mutables — rendre la référence laisserait l'appelant muter le
+* store en place, ce que les backends persistants rendent impossible.
+*/
+function cloneOrNull(record) {
+	return record ? structuredClone(record) : null;
+}
+/**
 * Store de jetons **en mémoire** — implémentation de référence d'{@link ITokenStore}.
 *
 * 0 dépendance, idéale pour le développement mono-process et les **tests**. NON
@@ -59,6 +67,11 @@ var MemoryTokenStore = class {
 		this.#retentionRevokedMs = retentionRevokedMs;
 	}
 	put(record) {
+		const owner = this.#idByHash.get(record.secretHash);
+		if (owner !== void 0 && owner !== record.id) return Promise.reject(/* @__PURE__ */ new Error(`secretHash déjà porté par le jeton ${owner} : un secret ne désigne qu'un jeton`));
+		const previous = this.#byId.get(record.id);
+		if (previous) this.#removeRecord(record.id, previous);
+		record = structuredClone(record);
 		this.#byId.set(record.id, record);
 		this.#idByHash.set(record.secretHash, record.id);
 		this.#addToIndex(this.#idsBySubject, record.subjectId, record.id);
@@ -66,11 +79,11 @@ var MemoryTokenStore = class {
 		return Promise.resolve();
 	}
 	findById(id) {
-		return Promise.resolve(this.#byId.get(id) ?? null);
+		return Promise.resolve(cloneOrNull(this.#byId.get(id)));
 	}
 	findByHash(secretHash) {
 		const id = this.#idByHash.get(secretHash);
-		return Promise.resolve(id !== void 0 ? this.#byId.get(id) ?? null : null);
+		return Promise.resolve(id !== void 0 ? cloneOrNull(this.#byId.get(id)) : null);
 	}
 	findBySubject(subjectId) {
 		const ids = this.#idsBySubject.get(subjectId);
@@ -78,12 +91,12 @@ var MemoryTokenStore = class {
 		const out = [];
 		for (const id of ids) {
 			const record = this.#byId.get(id);
-			if (record) out.push(record);
+			if (record) out.push(structuredClone(record));
 		}
 		return Promise.resolve(out);
 	}
 	listAll() {
-		return Promise.resolve([...this.#byId.values()]);
+		return Promise.resolve([...this.#byId.values()].map((r) => structuredClone(r)));
 	}
 	listPage(query) {
 		assertPageQuery(query, "offset");
@@ -93,7 +106,7 @@ var MemoryTokenStore = class {
 		const filtered = [...this.#byId.values()].filter((r) => matchesTokenQuery(r, query, now));
 		const order = pickOrder(query.order, this.sortableFields, TOKEN_DEFAULT_ORDER);
 		filtered.sort(compareByOrder(order, (r, field) => r[field]));
-		const items = filtered.slice(offset, offset + limit);
+		const items = filtered.slice(offset, offset + limit).map((r) => structuredClone(r));
 		const total = query.withTotal === false ? void 0 : filtered.length;
 		return Promise.resolve({
 			items,
@@ -206,7 +219,7 @@ var MemoryTokenStore = class {
 		set.add(id);
 	}
 	#revokeRecord(record, reason) {
-		if (record && record.revokedAt === null) {
+		if (record?.revokedAt === null) {
 			record.revokedAt = this.#now();
 			record.revokedReason = reason;
 		}

package/dist/nodefony/src/token/jwtRuntime.js

@@ -15,5 +15,17 @@ function resolveJwtRuntime(jwt) {
 		alg: "EdDSA"
 	};
 }
+/**
+* Audience inscrite dans un jeton quand aucune ressource n'est demandée : la
+* première de la liste blanche. La liste n'est jamais vide après
+* {@link resolveJwtRuntime} ; un runtime construit à la main qui la laisserait
+* vide retombe sur la même règle — l'application est sa propre audience.
+*
+* @param runtime - paramètres JWT résolus
+* @returns l'audience par défaut
+*/
+function defaultAudience(runtime) {
+	return runtime.audiences[0] ?? runtime.issuer;
+}
 //#endregion
-export { resolveJwtRuntime };
+export { defaultAudience, resolveJwtRuntime };

package/dist/nodefony/src/token/tokenCriteria.js

@@ -28,6 +28,7 @@ function tokenStatusCriteria(status, now) {
 			revokedAt: { $null: true },
 			$or: [{ expiresAt: { $null: true } }, { expiresAt: { $gt: now } }]
 		};
+		case void 0:
 		default: return {};
 	}
 }

package/dist/nodefony/src/totp/MemoryTotpSecretStore.js

@@ -37,21 +37,33 @@ function matchesTotpQuery(secret, query) {
 * un adapter ORM ou Redis. Perf : la `Map` n'existe que si le store est instancié
 * (2FA activé), jamais sur le hot path par requête.
 */
+/**
+* Copie d'un secret : `recoveryCodes` est un tableau mutable — rendre ou garder
+* la référence laisserait l'appelant rendre un code de secours réutilisable, ou
+* en effacer un, sans passer par le store.
+*/
+function cloneSecret(s) {
+	return {
+		...s,
+		recoveryCodes: [...s.recoveryCodes]
+	};
+}
 var MemoryTotpSecretStore = class {
 	/** userId → secret (source de vérité). */
 	#byUser = /* @__PURE__ */ new Map();
 	findByUser(userId) {
-		return Promise.resolve(this.#byUser.get(userId) ?? null);
+		const secret = this.#byUser.get(userId);
+		return Promise.resolve(secret ? cloneSecret(secret) : null);
 	}
 	save(secret) {
-		this.#byUser.set(secret.userId, secret);
+		this.#byUser.set(secret.userId, cloneSecret(secret));
 		return Promise.resolve();
 	}
 	update(userId, patch) {
 		const secret = this.#byUser.get(userId);
 		if (secret) {
 			if (patch.confirmedAt !== void 0) secret.confirmedAt = patch.confirmedAt;
-			if (patch.recoveryCodes !== void 0) secret.recoveryCodes = patch.recoveryCodes;
+			if (patch.recoveryCodes !== void 0) secret.recoveryCodes = [...patch.recoveryCodes];
 			if (patch.lastUsedStep !== void 0) secret.lastUsedStep = patch.lastUsedStep;
 			if (patch.lastUsedAt !== void 0) secret.lastUsedAt = patch.lastUsedAt;
 		}

package/dist/nodefony/src/totp/totpCrypto.js

@@ -27,8 +27,8 @@ function base32Encode(buf) {
 	let bits = 0;
 	let value = 0;
 	let out = "";
-	for (let i = 0; i < buf.length; i++) {
-		value = value << 8 | buf[i];
+	for (const byte of buf) {
+		value = value << 8 | byte;
 		bits += 8;
 		while (bits >= 5) {
 			out += BASE32_ALPHABET[value >>> bits - 5 & 31];
@@ -48,9 +48,9 @@ function base32Decode(input) {
 	let bits = 0;
 	let value = 0;
 	const out = [];
-	for (let i = 0; i < clean.length; i++) {
-		const idx = BASE32_ALPHABET.indexOf(clean[i]);
-		if (idx === -1) throw new Error(`base32: caractère invalide « ${clean[i]} »`);
+	for (const char of clean) {
+		const idx = BASE32_ALPHABET.indexOf(char);
+		if (idx === -1) throw new Error(`base32: caractère invalide « ${char} »`);
 		value = value << 5 | idx;
 		bits += 5;
 		if (bits >= 8) {
@@ -85,8 +85,8 @@ function counterBuffer(counter) {
 */
 function hotp(secret, counter, digits = TOTP_DEFAULTS.digits, algorithm = TOTP_DEFAULTS.algorithm) {
 	const hs = createHmac(hmacName(algorithm), secret).update(counterBuffer(counter)).digest();
-	const offset = hs[hs.length - 1] & 15;
-	return (((hs[offset] & 127) << 24 | (hs[offset + 1] & 255) << 16 | (hs[offset + 2] & 255) << 8 | hs[offset + 3] & 255) % 10 ** digits).toString().padStart(digits, "0");
+	const offset = hs.readUInt8(hs.length - 1) & 15;
+	return ((hs.readUInt32BE(offset) & 2147483647) % 10 ** digits).toString().padStart(digits, "0");
 }
 /** Numéro de tranche temporelle `T` (RFC 6238 §4.2) pour un instant donné. */
 function totpCounter(epochSec, step = TOTP_DEFAULTS.step, t0 = TOTP_DEFAULTS.t0) {
@@ -216,8 +216,8 @@ function hashRecoveryCode(code) {
 function matchRecoveryCode(presented, hashes) {
 	const target = Buffer.from(hashRecoveryCode(presented));
 	let found = -1;
-	for (let i = 0; i < hashes.length; i++) {
-		const candidate = Buffer.from(hashes[i]);
+	for (const [i, hash] of hashes.entries()) {
+		const candidate = Buffer.from(hash);
 		if (candidate.length === target.length && timingSafeEqual(candidate, target)) found = i;
 	}
 	return found;

package/dist/nodefony/src/webauthn/MemoryWebAuthnCredentialStore.js

@@ -18,13 +18,25 @@ function toWebAuthnSummary(c) {
 		...c.nickname !== void 0 ? { nickname: c.nickname } : {}
 	};
 }
+/**
+* Copie d'une passkey : `transports` est un tableau mutable — rendre ou garder
+* la référence laisserait l'appelant muter le store en place, ce que les
+* backends persistants rendent impossible par sérialisation.
+*/
+function cloneCredential(c) {
+	return {
+		...c,
+		transports: [...c.transports]
+	};
+}
 var MemoryWebAuthnCredentialStore = class {
 	/** id (base64url) → credential (source de vérité). */
 	#byId = /* @__PURE__ */ new Map();
 	/** userId → ids (allowCredentials + « mes appareils »). */
 	#idsByUser = /* @__PURE__ */ new Map();
 	findById(credentialId) {
-		return Promise.resolve(this.#byId.get(credentialId) ?? null);
+		const cred = this.#byId.get(credentialId);
+		return Promise.resolve(cred ? cloneCredential(cred) : null);
 	}
 	findByUser(userId) {
 		const ids = this.#idsByUser.get(userId);
@@ -32,7 +44,7 @@ var MemoryWebAuthnCredentialStore = class {
 		const out = [];
 		for (const id of ids) {
 			const cred = this.#byId.get(id);
-			if (cred) out.push(cred);
+			if (cred) out.push(cloneCredential(cred));
 		}
 		return Promise.resolve(out);
 	}
@@ -40,7 +52,9 @@ var MemoryWebAuthnCredentialStore = class {
 		return Promise.resolve(this.#idsByUser.get(userId)?.size ?? 0);
 	}
 	save(credential) {
-		this.#byId.set(credential.id, credential);
+		const previous = this.#byId.get(credential.id);
+		if (previous && previous.userId !== credential.userId) this.#unindex(previous.userId, credential.id);
+		this.#byId.set(credential.id, cloneCredential(credential));
 		let set = this.#idsByUser.get(credential.userId);
 		if (!set) {
 			set = /* @__PURE__ */ new Set();
@@ -63,12 +77,16 @@ var MemoryWebAuthnCredentialStore = class {
 		const cred = this.#byId.get(credentialId);
 		if (!cred) return Promise.resolve();
 		this.#byId.delete(credentialId);
-		const set = this.#idsByUser.get(cred.userId);
+		this.#unindex(cred.userId, credentialId);
+		return Promise.resolve();
+	}
+	/** Retire un id de l'index d'un porteur ; l'entrée vide disparaît. */
+	#unindex(userId, credentialId) {
+		const set = this.#idsByUser.get(userId);
 		if (set) {
 			set.delete(credentialId);
-			if (set.size === 0) this.#idsByUser.delete(cred.userId);
+			if (set.size === 0) this.#idsByUser.delete(userId);
 		}
-		return Promise.resolve();
 	}
 	/** Credentials filtrés, dans l'ordre contractuel (createdAt DESC, id ASC). */
 	#filtered(query) {

package/dist/nodefony/src/webhook/MemoryWebhookStore.js

@@ -27,6 +27,18 @@ function matchesWebhookQuery(e, query) {
 * Map indexée par id (O(1)). Les lectures renvoient une **copie défensive** : le
 * store détient la vérité, un consommateur ne peut pas muter un record en place.
 */
+/**
+* Copie PROFONDE d'un endpoint : `events` et `metadata` sont des structures
+* mutables — une copie de surface laisserait l'appelant muter le store en place,
+* ce que les backends persistants rendent impossible par sérialisation.
+*/
+function cloneEndpoint(e) {
+	return {
+		...e,
+		events: [...e.events],
+		metadata: structuredClone(e.metadata)
+	};
+}
 var MemoryWebhookStore = class {
 	/**
 	* {@inheritDoc IWebhookStore.sortableFields}
@@ -37,25 +49,25 @@ var MemoryWebhookStore = class {
 	sortableFields = WEBHOOK_SORTABLE_FIELDS;
 	#byId = /* @__PURE__ */ new Map();
 	async save(endpoint) {
-		this.#byId.set(endpoint.id, { ...endpoint });
+		this.#byId.set(endpoint.id, cloneEndpoint(endpoint));
 	}
 	async findById(id) {
 		const found = this.#byId.get(id);
-		return found ? { ...found } : null;
+		return found ? cloneEndpoint(found) : null;
 	}
 	async update(id, patch) {
 		const current = this.#byId.get(id);
 		if (!current) return;
-		this.#byId.set(id, {
+		this.#byId.set(id, cloneEndpoint({
 			...current,
 			...patch
-		});
+		}));
 	}
 	async delete(id) {
 		this.#byId.delete(id);
 	}
 	async listAll() {
-		return [...this.#byId.values()].map((e) => ({ ...e }));
+		return [...this.#byId.values()].map(cloneEndpoint);
 	}
 	async listPage(query) {
 		assertPageQuery(query, "offset");
@@ -64,11 +76,7 @@ var MemoryWebhookStore = class {
 		const filtered = [...this.#byId.values()].filter((e) => matchesWebhookQuery(e, query));
 		const order = pickOrder(query.order, this.sortableFields, WEBHOOK_DEFAULT_ORDER);
 		filtered.sort(compareByOrder(order, (e, field) => e[field]));
-		const items = filtered.slice(offset, offset + limit).map((e) => ({
-			...e,
-			events: [...e.events],
-			metadata: { ...e.metadata }
-		}));
+		const items = filtered.slice(offset, offset + limit).map(cloneEndpoint);
 		return {
 			items,
 			total: query.withTotal === false ? void 0 : filtered.length,

package/dist/nodefony/src/webhook/WebhookDispatcher.js

@@ -78,7 +78,7 @@ var WebhookDispatcher = class {
 	/** Empile une livraison ; **abandonne** (best-effort) si la file est pleine. */
 	#enqueue(job) {
 		if (this.#stopped) return;
-		if (this.#queue === null) this.#queue = [];
+		this.#queue ??= [];
 		if (this.#queue.length >= this.#deps.policy.maxQueue) {
 			this.#dropped++;
 			if (this.#dropped === 1 || this.#dropped % 100 === 0) this.#deps.log(`webhooks: file pleine (${this.#deps.policy.maxQueue}) — ${this.#dropped} livraison(s) abandonnée(s) (best-effort)`);
@@ -100,8 +100,9 @@ var WebhookDispatcher = class {
 	#pump() {
 		if (this.#queue === null || this.#stopped) return;
 		const max = this.#deps.policy.maxConcurrent;
-		while (this.#inFlight < max && this.#queue.length > 0) {
+		while (this.#inFlight < max) {
 			const job = this.#queue.shift();
+			if (job === void 0) break;
 			this.#inFlight++;
 			this.#process(job).finally(() => {
 				this.#inFlight--;
@@ -178,7 +179,7 @@ var WebhookDispatcher = class {
 	/** Replanifie la livraison après backoff (repasse par la file bornée). */
 	#scheduleRetry(job) {
 		if (this.#stopped) return;
-		if (this.#timers === null) this.#timers = /* @__PURE__ */ new Set();
+		this.#timers ??= /* @__PURE__ */ new Set();
 		const cancel = this.#deps.schedule(() => {
 			this.#timers?.delete(cancel);
 			this.#enqueue({

package/dist/types/nodefony/command/security-user-add.d.ts

@@ -1,20 +1,4 @@
 import { CliKernel, Command } from "nodefony";
-/**
- * La route qui échange un compte contre une SESSION — le geste qui manquait.
- *
- * Créer un compte ne sert à rien tant qu'on ne sait pas s'en servir : mesuré,
- * 33 minutes d'un essai réel se sont passées entre un premier refus et
- * l'abandon, faute de savoir quoi appeler. La commande dit donc l'étape
- * suivante au moment où elle a un sens.
- *
- * ⚠️ La route est MONTÉE ailleurs — `mountSessionAuthRoutes` du module
- * framework — et ce paquet ne peut pas l'importer pour la lire (le montage est
- * conditionné au service `authFlow`, et la valeur ne vit dans aucune constante
- * exportée). La copie est donc assumée, et un test la CONFRONTE à la table du
- * controller : deux copies qui divergent en silence, c'est précisément ce
- * qu'on refuse.
- */
-export declare const AUTH_LOGIN_PATH = "/nodefony/security/api/auth/login";
 /**
  * `nodefony security:user:add [identifier]` — crée un compte utilisateur via le
  * service applicatif `users` (hash Argon2id fait par `UserService.createUser`,

package/dist/types/nodefony/contracts/IAuditEvent.d.ts

@@ -12,13 +12,17 @@
  * Sous-système de sécurité concerné — axe de filtrage principal de la console
  * d'audit (Studio P6.15). Fermé : la liste des sous-systèmes est stable.
  *
- * ⚠️ Quatre catégories sont RÉSERVÉES — déclarées au contrat mais **sans émetteur à
+ * ⚠️ Trois catégories sont RÉSERVÉES — déclarées au contrat mais **sans émetteur à
  * ce jour** (aucun `record({ category: … })` ne les produit) : `oauth`, `csrf`,
- * `cors`, `config`. La console Studio ne propose donc PAS de filtre pour elles (un
+ * `cors`. La console Studio ne propose donc PAS de filtre pour elles (un
  * filtre qui ne rend jamais rien induit en erreur — cf `studio/.../auditModel.ts`).
  * En câbler une = ajouter son émetteur ICI (l'émetteur), puis la métadonnée
  * d'affichage dans `AUDIT_CATEGORIES`. Émettent réellement : auth, authz, token,
- * session, webauthn, ws, webhook.
+ * session, webauthn, ws, webhook, config (`config.update`, `log.debug.*`).
+ *
+ * Un émetteur hors de `@nodefony/security` ne peut pas importer ce type et passe
+ * la catégorie en `string` : `tests/unit/auditCategoryEmitters.test.ts` relit
+ * les sources de tous les paquets pour refuser une catégorie hors contrat.
  */
 export type AuditCategory = "auth" | "authz" | "token" | "session" | "oauth" | "webauthn" | "csrf" | "cors" | "ws" | "webhook" | "config";
 /**
@@ -85,7 +89,7 @@ export interface IAuditEvent {
      */
     flags?: IAuditEventFlags;
     /** Extras applicatifs libres (anti-migration) ; absents par défaut. */
-    metadata?: Record<string, unknown>;
+    metadata?: Record<string, unknown> | undefined;
 }
 /**
  * Champs fournis par l'**émetteur** d'un événement — l'`AuditService` y ajoute

package/dist/types/nodefony/contracts/IFirewall.d.ts

@@ -1,4 +1,4 @@
-import type { ContextType } from "@nodefony/http";
+import type { ContextType, IFirewallGate } from "@nodefony/http";
 import type { IAuthenticator } from "./IAuthenticator.js";
 import type { ISecuredArea } from "./ISecuredArea.js";
 import type { CspFragment } from "../src/csp.js";
@@ -11,7 +11,7 @@ import type { IProtectedResourceInput } from "nodefony";
  * `context.security`. `handleSecurity()` (lazy, seulement si la requête est dans
  * une zone) exécute CORS → headers → authenticators → Zero Trust → CSRF.
  */
-export interface IFirewall {
+export interface IFirewall extends IFirewallGate {
     /** Match rapide de zone (pose `context.security`). `true` si zone capturée. */
     isSecure(context: ContextType): boolean;
     /** Pipeline complet d'authentification de la zone. Rejette (401/403) ou résout. */

package/dist/types/nodefony/contracts/IFirewallDescription.d.ts

@@ -78,11 +78,11 @@ export interface IFirewallDefensesDescription {
         frameguard: "deny" | "sameorigin";
         noSniff: boolean;
         referrerPolicy: string;
-        coop?: string;
-        coep?: string;
-        corp?: string;
-        originAgentCluster?: boolean;
-        permissionsPolicy?: string;
+        coop?: string | undefined;
+        coep?: string | undefined;
+        corp?: string | undefined;
+        originAgentCluster?: boolean | undefined;
+        permissionsPolicy?: string | undefined;
     };
     rateLimit: {
         enabled: boolean;

package/dist/types/nodefony/contracts/ISecuredArea.d.ts

@@ -1,4 +1,4 @@
-import type { ContextType } from "@nodefony/http";
+import type { ContextType, ISecurityZone } from "@nodefony/http";
 /**
  * Zone sécurisée — un pattern d'URL + la liste des authenticators à exécuter.
  *
@@ -7,7 +7,7 @@ import type { ContextType } from "@nodefony/http";
  * `defineSecurityConfig({ areas })` — patterns compilés et triés au boot, conflits
  * détectés au boot (pas au premier match runtime).
  */
-export interface ISecuredArea {
+export interface ISecuredArea extends ISecurityZone {
     /** Nom de la zone (`"main_api"`, `"admin"`…). */
     readonly name: string;
     /** Pattern d'URL compilé. */
@@ -29,7 +29,7 @@ export interface ISecuredArea {
     /** Noms des authenticators à exécuter (sémantique selon {@link mode}). */
     readonly authenticators: readonly string[];
     /** Domaine/vhost de la zone (ex. `admin.exemple.com`). Omis = tous domaines. */
-    readonly host?: string;
+    readonly host?: string | undefined;
     /**
      * URI canonique de la ressource protégée par cette zone — l'**audience**
      * qu'un jeton doit porter pour y être accepté (RFC 8707 §2).
@@ -44,7 +44,7 @@ export interface ISecuredArea {
      * Omise, une zone reste parfaitement utilisable par les authenticators qui
      * n'en ont pas besoin (session, mot de passe, jetons maison).
      */
-    readonly resource?: string;
+    readonly resource?: string | undefined;
     /**
      * Zone valable AUSSI pour le WebSocket (frames `api.request` + `subscribe`),
      * pas seulement HTTP. Défaut `true` (Zero Trust : une zone protégée ferme TOUS

package/dist/types/nodefony/contracts/ITokenStore.d.ts

@@ -27,7 +27,7 @@ export interface IResourcePermission {
     /** Type de ressource (ex. `"repo"`, `"project"`). */
     type: string;
     /** Identifiants ciblés (omis = toutes les ressources de ce type). */
-    ids?: string[];
+    ids?: string[] | undefined;
     /** Permissions accordées sur ces ressources. */
     perms: Array<"read" | "write">;
 }
@@ -36,9 +36,9 @@ export interface ITokenUsage {
     /** Instant d'usage (epoch ms). */
     at: number;
     /** IP source, si disponible. */
-    ip?: string | null;
+    ip?: string | null | undefined;
     /** User-Agent source, si disponible. */
-    userAgent?: string | null;
+    userAgent?: string | null | undefined;
 }
 /**
  * Enregistrement d'un jeton persistant — un PAT (clé API style GitHub) ou un

package/dist/types/nodefony/contracts/ITotpSecretStore.d.ts

@@ -46,13 +46,13 @@ export interface ITotpListQuery extends IPageQuery {
 /** Champs mutables d'un secret TOTP (patch partiel). */
 export interface TotpSecretUpdate {
     /** Confirmation de l'enrôlement (epoch ms) — passe le secret en « actif ». */
-    confirmedAt?: number | null;
+    confirmedAt?: number | null | undefined;
     /** Stock résiduel de codes de récupération hachés (après consommation). */
-    recoveryCodes?: string[];
+    recoveryCodes?: string[] | undefined;
     /** Dernière tranche `T` validée (anti-rejeu RFC 6238 §5.2). */
-    lastUsedStep?: number;
+    lastUsedStep?: number | undefined;
     /** Horodatage du dernier usage réussi (epoch ms). */
-    lastUsedAt?: number;
+    lastUsedAt?: number | undefined;
 }
 /**
  * Store **pluggable** du secret TOTP par utilisateur — découple le cœur du backend