@nodefony/security 10.0.0-alpha.9 → 10.0.0-beta.1

package/docs/webhooks.md

@@ -66,11 +66,11 @@ Le détail de chaque étape est plus bas, dans **Architecture interne**.
 
 Trois usages courants, tous branchés sur des événements que Nodefony émet déjà :
 
-| Ce que tu veux                                                             | Tu abonnes                           | Le tiers qui reçoit                |
-| -------------------------------------------------------------------------- | ------------------------------------ | ---------------------------------- |
-| Être prévenu quand quelqu'un s'acharne sur un compte                       | `login.failure`                      | un canal Slack, un SMS d'astreinte |
-| Garder une trace inviolable des accès, hors de l'application               | `*`                                  | un SIEM, un bucket d'archives      |
-| Couper l'accès d'un salarié partout ailleurs quand sa session est révoquée | `token.revoked`, `session.destroyed` | ton annuaire, ton outil de tickets |
+| Ce que tu veux                                                             | Tu abonnes                                | Le tiers qui reçoit                |
+| -------------------------------------------------------------------------- | ----------------------------------------- | ---------------------------------- |
+| Être prévenu quand quelqu'un s'acharne sur un compte                       | `login.failure`                           | un canal Slack, un SMS d'astreinte |
+| Garder une trace inviolable des accès, hors de l'application               | `*`                                       | un SIEM, un bucket d'archives      |
+| Couper l'accès d'un salarié partout ailleurs quand sa session est révoquée | `session.revoked`, `token.reuse_detected` | ton annuaire, ton outil de tickets |
 
 Le premier, en entier — un serveur qui prévient une équipe quand un compte est attaqué :
 
@@ -418,8 +418,8 @@ Les catégories d'audit disponibles (`AuditCategory`, `IAuditEvent.ts:24`) donne
 | ---------- | -------------------------------------------------------------------------- |
 | `auth`     | Login/logout, chaîne d'authentification (`login.success`, `login.failure`) |
 | `authz`    | Accès accordé/refusé, voters, `@IsGranted` (`access.denied`)               |
-| `token`    | Jetons longue durée émis/révoqués — JWT refresh, PAT (`token.revoked`)     |
-| `session`  | Cycle de vie de session (`session.opened`)                                 |
+| `token`    | Jetons longue durée et clés d'API (`token.issued`, `apikey.revoked`)       |
+| `session`  | Cycle de vie de session (`logout`, `session.revoked`)                      |
 | `oauth`    | Login social : authorize, callback, provisioning JIT                       |
 | `webauthn` | Passkeys : enregistrement, assertion                                       |
 | `csrf`     | Défense CSRF déclenchée                                                    |
@@ -672,7 +672,7 @@ abandon. Chaque retry **repasse par la file bornée** (`#scheduleRetry()`,
 
 ### Auto-désactivation d'un endpoint mort
 
-Chaque issue finale passe par `WebhookService.markDelivery()` (`webhooks.ts:687`) : succès →
+Chaque issue finale passe par `WebhookService.markDelivery()` (`webhooks.ts:682`) : succès →
 `failureCount = 0` ; échec → incrément. Au-delà de `autoDisableThreshold` (défaut **20**), l'endpoint
 est **désactivé** et un unique événement d'audit `webhook.disabled` est émis — **un par endpoint qui
 meurt**, jamais un par échec (le volume resterait ingérable). Mettre le seuil à `0` désactive
@@ -725,7 +725,7 @@ Section `webhooks` du schéma Zod (`webhooksSchema`, `security/nodefony/config/c
 
 > [!NOTE]
 > `timestampToleranceS` est **transporté** dans la politique de livraison
-> (`getDeliveryPolicy()`, `webhooks.ts:667`) mais l'émetteur ne l'applique jamais : la fenêtre
+> (`getDeliveryPolicy()`, `webhooks.ts:663`) mais l'émetteur ne l'applique jamais : la fenêtre
 > anti-rejeu est par nature un contrôle du **récepteur**. Traite cette valeur comme la tolérance que
 > tu documentes à tes destinataires — c'est celle du récepteur qui protège.
 
@@ -1017,6 +1017,3 @@ Couverture : `npm run coverage` dans `@nodefony/security`. Revue de sécurité d
 - La **source des événements** livrés → [audit](audit.md) · Le pare-feu qui les produit → [firewall](firewall.md)
 - Secrets et jetons du module, mêmes principes de chiffrement au repos → [tokens](tokens.md)
 - Vocabulaire transverse de la sécurité → [lexique](lexique.md)
-</content>
-
-</invoke>

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nodefony/security",
-  "version": "10.0.0-alpha.9",
+  "version": "10.0.0-beta.1",
   "description": "Pare-feu applicatif par zones pour Nodefony : authentification, autorisation par rôles, protection CSRF, journal d'audit",
   "author": "Christophe CAMENSULI <ccamensuli@gmail.com>",
   "main": "./dist/index.js",
@@ -48,28 +48,28 @@
     "directory": "src/packages/@nodefony/security"
   },
   "dependencies": {
-    "@simplewebauthn/server": "14.0.2",
+    "@simplewebauthn/server": "14.0.3",
     "jose": "6.2.12",
     "tslib": "2.8.1",
     "zod": "^4.6.5"
   },
   "devDependencies": {
-    "@nodefony/framework": "^10.0.0-alpha.9",
-    "@nodefony/http": "^10.0.0-alpha.9",
-    "@nodefony/user": "^10.0.0-alpha.9",
-    "@types/node": "26.6.2",
-    "@vitest/coverage-v8": "5.0.1",
-    "nodefony": "^10.0.0-alpha.9",
-    "vitest": "5.0.1"
+    "@nodefony/framework": "^10.0.0-beta.1",
+    "@nodefony/http": "^10.0.0-beta.1",
+    "@nodefony/user": "^10.0.0-beta.1",
+    "@types/node": "26.6.3",
+    "@vitest/coverage-v8": "5.0.2",
+    "nodefony": "^10.0.0-beta.1",
+    "vitest": "5.0.2"
   },
   "license": "Apache-2.0",
   "readmeFilename": "README.md",
   "contributors": [],
   "peerDependencies": {
-    "@nodefony/framework": "^10.0.0-alpha.9",
-    "@nodefony/http": "^10.0.0-alpha.9",
-    "@nodefony/user": "^10.0.0-alpha.9",
-    "nodefony": "^10.0.0-alpha.9"
+    "@nodefony/framework": "^10.0.0-beta.1",
+    "@nodefony/http": "^10.0.0-beta.1",
+    "@nodefony/user": "^10.0.0-beta.1",
+    "nodefony": "^10.0.0-beta.1"
   },
   "files": [
     "dist",