@nodefony/security 10.0.0-alpha.9 → 10.0.0-beta.2

package/README.md

@@ -25,7 +25,7 @@ Consomme [`@nodefony/user`](https://www.npmjs.com/package/@nodefony/user).
   (cookie opaque BFF, révocable, `HttpOnly; Secure; SameSite`) ; les **API/agents** portent leur
   preuve à chaque requête (**JWT** signé / clé API). Jamais « full stateless » : la session reste
   la fondation web (révocation immédiate), le JWT est réservé au sans-état machine-à-machine.
-- **Config type-safe** : schéma **Zod** (18 sections, tout `enabled`), **introspectable** (Studio
+- **Config type-safe** : schéma **Zod** (19 sections, la plupart désactivables par `enabled`), **introspectable** (Studio
   génère son formulaire d'édition). L'app configure via `use("@nodefony/security", { … })`.
 - **En-têtes natifs** (sans la lib `helmet`) — 0 dépendance, nonce CSP par requête.
 
@@ -67,7 +67,8 @@ export default defineConfig((ctx) => ({
 
 > Une zone se déclare idéalement **par module** (override `module-security`, dans la config du
 > module) pour vivre au plus près de ses routes. Authenticators fournis : `anonymous`, `session`,
-> `userpassword`, `jwt`, `apikey`, `webauthn`, plus les providers OAuth2. La chaîne est validée
+> `userpassword`, `jwt`, `external-jwt`, `apikey`. WebAuthn, OAuth2 et TOTP n'en sont pas : ils
+> ouvrent une session BFF, que l'authenticator `session` identifie ensuite. La chaîne est validée
 > au boot (`mode: "first"` par défaut = le premier qui reconnaît authentifie ; `"all"` = tous
 > requis, ex. mTLS + JWT). Config invalide → firewall **fail-closed** (tout rejeté).
 
@@ -117,7 +118,7 @@ csrf: {
 > ouvrir la lecture CORS des réponses au JavaScript tiers. Une origine listée dans `cors.origins` est
 > toutefois aussi acceptée (ce que CORS autorise explicitement n'est pas du CSRF).
 
-Le token synchronizer renforcé (`@CsrfProtect` / `@CsrfExempt`) arrive à l'étape suivante.
+Le token synchronizer renforcé s'active par route avec `@CsrfProtect` ; `@CsrfExempt` en exclut une route.
 
 ### CORS — l'inverse du CSRF
 
@@ -141,8 +142,9 @@ const schema = securityConfigJsonSchema(); // JSON Schema → formulaire d'édit
 ## Journal d'audit (événements de sécurité)
 
 Le journal trace les **transitions d'état** de sécurité (login, refus, jeton émis/révoqué, verrou
-WS) — distinct du log de trafic (1 PDU/requête). Émission **explicite** par point sensible ; le
-**chemin de succès reste muet** (le volume n'est pas un signal), seul l'échec/refus émet (cold-path)
+WS) — distinct du log de trafic (1 PDU/requête). Émission **explicite** par point sensible, sur les
+chemins froids (login, logout, émission ou révocation de jeton, refus) ; jamais par requête nominale :
+le trafic courant ne passe pas par l'audit (cold-path)
 → aucun coût ajouté au hot-path nominal. Activé par défaut (`audit.enabled`, OWASP A09), coût nul si
 désactivé. Lecture : `GET /nodefony/security/api/audit/events` (RBAC `ROLE_NODEFONY_ADMIN`).
 

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.152.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.152.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.152.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.152.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/index.js

@@ -77,8 +77,8 @@ import SecurityUserPassword from "./nodefony/command/security-user-password.js";
 import SecurityToken from "./nodefony/command/security-token.js";
 import { createSecurityAdminApi, parseAuditQuery, registerSecurityAdminApi } from "./nodefony/src/admin/SecurityAdminApi.js";
 import { registerUserRevocationCascade } from "./nodefony/src/admin/userRevocationCascade.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
 import { tokenStatusCriteria } from "./nodefony/src/token/tokenCriteria.js";
 import { AccessDeniedError } from "./nodefony/errors/AccessDeniedError.js";
 import "./nodefony/errors/index.js";

package/dist/nodefony/command/security-token.js

@@ -223,7 +223,7 @@ var SecurityToken = class extends Command {
 				identifier = await this.prompts.select({
 					message: "Compte porteur du jeton :",
 					choices: page.items.map((u) => ({
-						name: `${u.identifier}${(u.roles ?? []).length ? ` ${DIM}(${(u.roles ?? []).join(", ")})${RESET}` : ""}`,
+						name: `${u.identifier}${u.roles.length ? ` ${DIM}(${u.roles.join(", ")})${RESET}` : ""}`,
 						value: u.identifier
 					}))
 				});
@@ -269,7 +269,7 @@ var SecurityToken = class extends Command {
 			throw e;
 		}
 		const token = issued.access_token;
-		const accordes = (issued.scope ?? "").split(/\s+/u).filter(Boolean);
+		const accordes = issued.scope.split(/\s+/u).filter(Boolean);
 		const nonAccordes = scopes.filter((s) => !accordes.includes(s));
 		if (opts.json) {
 			process.stdout.write(`${JSON.stringify({
@@ -285,7 +285,7 @@ var SecurityToken = class extends Command {
 			process.stdout.write(s);
 		};
 		let write = opts.write === true;
-		if (!write && process.stdin.isTTY && !opts.json) {
+		if (!write && process.stdin.isTTY) {
 			await this.loadPrompts();
 			write = await this.prompts.confirm({
 				message: `Poser ${MCP_TOKEN_ENV} dans la configuration des agents présents ?`,
@@ -293,7 +293,7 @@ var SecurityToken = class extends Command {
 			});
 		}
 		if (this.#ephemeralKey()) w(`\n${YELLOW}⚠ Clé de signature ÉPHÉMÈRE — ce jeton sera REFUSÉ.${RESET}\n${DIM}  Cette application n'a pas de clé persistante : chaque process en génère\n  une au démarrage. Le jeton ci-dessous n'est vérifiable que par le process\n  qui vient de le signer — pas par le serveur en marche, qui a la sienne.\n  → déclare une source de clés dans nodefony.config.ts :\n      use("@nodefony/security", { jwt: { keystore: { dir: "var/keys" } } })\n    ou, en production, keySetJson depuis l'environnement.${RESET}\n`);
-		const minutes = Math.round((issued.expires_in ?? 0) / 60);
+		const minutes = Math.round(issued.expires_in / 60);
 		w(`\n${BOLD}🔑 Jeton d'accès${RESET} ${DIM}— compte ${identifier}, audience ${resource}${RESET}\n${DIM}   valable ${minutes} min${accordes.length ? `, scopes : ${accordes.join(" ")}` : ", aucun scope"}${RESET}\n\n`);
 		if (nonAccordes.length > 0) w(`${DIM}   ⚠️  non accordé(s) : ${nonAccordes.join(" ")} — réservé(s) au rôle d'administration, que le compte « ${identifier} » ne porte pas.${RESET}\n\n`);
 		if (write) {

package/dist/nodefony/command/security-user-delete.js

@@ -64,7 +64,7 @@ var SecurityUserDelete = class extends Command {
 			process.exitCode = 1;
 			return this;
 		}
-		if ((user.roles ?? []).includes(ADMIN_ROLE)) {
+		if (user.roles.includes(ADMIN_ROLE)) {
 			if (await users.countActiveAdmins(ADMIN_ROLE) <= 1) {
 				this.log(`« ${identifier} » est le DERNIER administrateur actif — refus.\n  Sans lui, plus personne n'administre cette application.\n  Crée d'abord un autre admin : nodefony security:user:add <id> --admin`, "ERROR");
 				process.exitCode = 1;
@@ -74,7 +74,7 @@ var SecurityUserDelete = class extends Command {
 		const w = (t) => {
 			process.stdout.write(t);
 		};
-		w(`\n${BOLD}Compte à supprimer${RESET}\n  identifiant : ${BOLD}${user.identifier}${RESET}\n  rôles       : ${(user.roles ?? []).join(", ") || "—"}\n  id interne  : ${DIM}${user.id}${RESET}\n\n`);
+		w(`\n${BOLD}Compte à supprimer${RESET}\n  identifiant : ${BOLD}${user.identifier}${RESET}\n  rôles       : ${user.roles.join(", ") || "—"}\n  id interne  : ${DIM}${user.id}${RESET}\n\n`);
 		if (!opts.yes) {
 			if (!process.stdin.isTTY) {
 				this.log("confirmation impossible sans terminal — relance avec --yes si c'est voulu.", "ERROR");

package/dist/nodefony/command/security-user-list.js

@@ -52,7 +52,7 @@ var SecurityUserList = class extends Command {
 		});
 		const rows = page.items.map((u) => ({
 			identifiant: u.identifier,
-			rôles: (u.roles ?? []).join(", ") || "—",
+			rôles: u.roles.join(", ") || "—",
 			actif: u.isActive() ? "oui" : "non",
 			verrouillé: u.isLocked() ? "OUI" : "—",
 			id: u.id

package/dist/nodefony/service/apiKeys.js

@@ -199,7 +199,7 @@ var ApiKeyService = class extends Service {
 	async revokeAnyPat(id, actorId) {
 		const store = this.#resolveStore();
 		const record = await store.findById(id);
-		if (!record || record.kind !== "pat") return null;
+		if (record?.kind !== "pat") return null;
 		await store.revoke(id, "manual");
 		this.log(`api key revoked by admin — id=${id} actor=${actorId} subject=${record.subjectId}`, "INFO");
 		recordAudit(this.container, {
@@ -240,7 +240,7 @@ var ApiKeyService = class extends Service {
 	async revokeForSubject(subjectId, id) {
 		const store = this.#resolveStore();
 		const record = await store.findById(id);
-		if (!record || record.kind !== "pat" || record.subjectId !== subjectId) return false;
+		if (record?.kind !== "pat" || record.subjectId !== subjectId) return false;
 		await store.revoke(id, "manual");
 		this.log(`api key revoked — id=${id} subject=${subjectId}`, "INFO");
 		recordAudit(this.container, {

package/dist/nodefony/service/auditService.js

@@ -108,14 +108,14 @@ var AuditService = class extends Service {
 			ts: Date.now()
 		};
 		this.#store.append(event).catch((error) => this.log(error, "ERROR"));
-		if (this.#listeners !== null) for (let i = 0; i < this.#listeners.length; i++) try {
-			this.#listeners[i](event);
+		if (this.#listeners !== null) for (const listener of this.#listeners) try {
+			listener(event);
 		} catch (error) {
 			this.log(error, "ERROR");
 		}
 	}
 	subscribe(listener) {
-		if (this.#listeners === null) this.#listeners = [];
+		this.#listeners ??= [];
 		this.#listeners.push(listener);
 		let active = true;
 		return () => {

package/dist/nodefony/service/authFlow.js

@@ -238,7 +238,7 @@ var AuthFlow = class extends Service {
 	*/
 	async logout(context) {
 		const session = context.session;
-		if (!session || session.status !== "active") return false;
+		if (session?.status !== "active") return false;
 		const actor = typeof session.user === "string" ? session.user : null;
 		await session.destroy(true);
 		context.session = null;
@@ -315,7 +315,7 @@ var AuthFlow = class extends Service {
 	#resolveTotp() {
 		if (!this.#totpResolved) {
 			const svc = this.get("totp") ?? null;
-			this.#totp = svc && svc.isEnabled() ? svc : null;
+			this.#totp = svc?.isEnabled() ? svc : null;
 			this.#totpResolved = true;
 		}
 		return this.#totp;

package/dist/nodefony/service/authorization.js

@@ -45,8 +45,7 @@ var Authorization = class extends Service {
 		const voters = this.#voters ?? this.#build();
 		let granted = false;
 		let considered = 0;
-		for (let i = 0; i < voters.length; i++) {
-			const voter = voters[i];
+		for (const voter of voters) {
 			if (!voter.supports(attribute, subject)) continue;
 			considered++;
 			let vote;
@@ -88,8 +87,8 @@ var Authorization = class extends Service {
 /** Descripteur léger d'un sujet pour l'audit (jamais de JSON.stringify aveugle). */
 function describeSubject(subject) {
 	if (typeof subject === "string") return subject;
-	if (subject === null) return "null";
-	return subject?.constructor?.name ?? typeof subject;
+	if (subject === null || subject === void 0) return String(subject);
+	return subject.constructor?.name ?? typeof subject;
 }
 //#endregion
 export { Authorization, Authorization as default };

package/dist/nodefony/service/firewall.js

@@ -47,6 +47,11 @@ function cookieValue(cookieHeader, name) {
 	}
 }
 /**
+* Défi posé sur un 401 quand aucun authenticator de la zone n'en déclare
+* (RFC 9110 §15.5.2). Schéma inconnu des navigateurs : aucune fenêtre de login.
+*/
+const FALLBACK_CHALLENGE = "Session realm=\"nodefony\"";
+/**
 * Orchestrateur de sécurité Nodefony — refonte 2026 (P6).
 *
 * `isSecure()` (hot-path, court-circuit si aucune zone) ne fait QUE matcher la
@@ -63,8 +68,9 @@ function cookieValue(cookieHeader, name) {
 * d'identité down, câblage manquant) → log ERROR serveur + 401 générique
 * (aucun détail ne fuite au client).
 *
-* Conformité : tout 401 porte un challenge `WWW-Authenticate` (RFC 7235) fourni
-* par le premier authenticator de la zone qui en déclare un.
+* Conformité : tout 401 porte un challenge `WWW-Authenticate` (RFC 9110
+* §15.5.2) — celui du premier authenticator de la zone qui en déclare un, sinon
+* le défi de repli {@link FALLBACK_CHALLENGE}.
 *
 * CORS, CSRF et autorisation par décorateurs viennent se brancher en S4/S5.
 * Toutes les structures sont **lazy** (perf : une app sans zone = zéro alloc).
@@ -109,10 +115,9 @@ var Firewall = class extends Service {
 		if (this.#config.cors.enabled) this.#cors = new Cors(this.#config.cors);
 		if (this.#config.headers.enabled) this.#securityHeaders = new SecurityHeaders(this.#config.headers);
 		const areas = this.#config.areas;
-		const names = Object.keys(areas);
-		if (names.length) {
+		if (Object.keys(areas).length) {
 			const list = [];
-			for (const name of names) list.push(new SecuredArea(name, areas[name]));
+			for (const [name, area] of Object.entries(areas)) list.push(new SecuredArea(name, area));
 			list.sort((a, b) => b.pattern.source.length - a.pattern.source.length);
 			this.#areas = list;
 			this.#instantiateAuthenticators(list);
@@ -333,7 +338,7 @@ var Firewall = class extends Service {
 	describeRoleHierarchy() {
 		const raw = this.#config?.roleHierarchy ?? {};
 		const hierarchy = {};
-		for (const role of Object.keys(raw)) hierarchy[role] = [...raw[role]];
+		for (const [role, inherited] of Object.entries(raw)) hierarchy[role] = [...inherited];
 		const walker = this.roleHierarchy;
 		return {
 			hierarchy,
@@ -565,7 +570,10 @@ var Firewall = class extends Service {
 		if (typeof response?.setHeader !== "function") return void 0;
 		const isPreflight = context.method?.toUpperCase() === "OPTIONS" && headerValue(headers, "access-control-request-method") !== void 0;
 		const corsHeaders = isPreflight ? this.#cors.preflightHeaders(origin) : this.#cors.actualHeaders(origin);
-		if (corsHeaders) for (const name in corsHeaders) response.setHeader(name, corsHeaders[name]);
+		if (corsHeaders) for (const name in corsHeaders) {
+			const value = corsHeaders[name];
+			if (value !== void 0) response.setHeader(name, value);
+		}
 		return isPreflight ? 204 : void 0;
 	}
 	/**
@@ -584,7 +592,10 @@ var Firewall = class extends Service {
 		const response = context.response;
 		if (typeof response?.setHeader !== "function") return;
 		const headers = sh.headers;
-		for (const name in headers) response.setHeader(name, headers[name]);
+		for (const name in headers) {
+			const value = headers[name];
+			if (value !== void 0) response.setHeader(name, value);
+		}
 		const extra = context.cspDirectives;
 		if (sh.hasNonce) {
 			const nonce = context.cspNonce;
@@ -665,7 +676,7 @@ var Firewall = class extends Service {
 					throw error;
 				}
 				if (error instanceof UnverifiableTokenError) {
-					this.log(`token unverifiable (area "${area.name}", authenticator "${name}") — ${error.detail ?? "cause non renseignée"}`, "ERROR");
+					this.log(`token unverifiable (area "${area.name}", authenticator "${name}") — ` + (error.detail ?? "cause non renseignée"), "ERROR");
 					this.log(error, "ERROR");
 					throw error;
 				}
@@ -689,6 +700,7 @@ var Firewall = class extends Service {
 				return;
 			}
 		}
+		response.setHeader("WWW-Authenticate", FALLBACK_CHALLENGE);
 	}
 	log(pci, severity, msgid, msg) {
 		if (!msgid) msgid = logColor.cyan("FIREWALL");

package/dist/nodefony/service/oauth2.js

@@ -135,7 +135,7 @@ var OAuth2Service = class extends Service {
 	listDisplayProviders() {
 		if (this.#config === null) return [];
 		const configured = this.#config.oauth2.providers;
-		return this.listProviders().filter((name) => configured[name]?.hidden !== true).map((name) => ({
+		return this.listProviders().filter((name) => !configured[name]?.hidden).map((name) => ({
 			name,
 			label: configured[name]?.label ?? oauthDisplayLabel(name)
 		}));
@@ -192,7 +192,7 @@ var OAuth2Service = class extends Service {
 			codeVerifier
 		});
 		const profile = await p.fetchProfile(tokens);
-		const cfg = this.#config.oauth2;
+		const cfg = this.#ensureReady().oauth2;
 		const defaultRoles = cfg.providers[provider]?.defaultRoles ?? cfg.defaultRoles;
 		return { identifier: (await this.#resolveProvisioner().provisionOAuthUser(profile, {
 			defaultRoles: [...defaultRoles],
@@ -210,7 +210,8 @@ var OAuth2Service = class extends Service {
 		return pending;
 	}
 	async #buildProvider(name) {
-		const cfg = this.#config.oauth2.providers[name];
+		const providers = this.#ensureReady().oauth2.providers;
+		const cfg = Object.hasOwn(providers, name) ? providers[name] : void 0;
 		if (!cfg) throw new AuthenticationError(`OAuth provider "${name}" non configuré`);
 		const factory = getOAuthProviderFactory(name);
 		if (!factory) throw new AuthenticationError(`OAuth provider "${name}" inconnu du registre`);
@@ -233,6 +234,7 @@ var OAuth2Service = class extends Service {
 	}
 	#ensureReady() {
 		if (!this.#ready || this.#config === null) throw new Error("OAuth2Service: non initialisé (social login désactivé ou boot échoué)");
+		return this.#config;
 	}
 };
 //#endregion

package/dist/nodefony/service/securityHeaders.js

@@ -20,6 +20,8 @@ const NONCE_PLACEHOLDER = "{{nonce}}";
 var SecurityHeaders = class {
 	#headers;
 	#cspParts;
+	#cspPrefix;
+	#cspSuffix;
 	#cspRaw;
 	constructor(o) {
 		const h = {};
@@ -39,7 +41,14 @@ var SecurityHeaders = class {
 		if (o.permissionsPolicy) h["Permissions-Policy"] = o.permissionsPolicy;
 		this.#headers = Object.freeze(h);
 		this.#cspParts = cspParts ? Object.freeze(cspParts) : null;
-		this.#cspRaw = o.csp ?? "";
+		if (cspParts?.length === 2) {
+			this.#cspPrefix = cspParts[0] ?? "";
+			this.#cspSuffix = cspParts[1] ?? "";
+		} else {
+			this.#cspPrefix = null;
+			this.#cspSuffix = "";
+		}
+		this.#cspRaw = o.csp;
 	}
 	/** Table d'en-têtes applicatifs CONSTANTS (figée), posée telle quelle par le firewall. */
 	get headers() {
@@ -51,13 +60,15 @@ var SecurityHeaders = class {
 	}
 	/**
 	* Recompose le CSP en injectant le `nonce` de la requête aux emplacements
-	* `{{nonce}}`. 1 `join` (segments pré-split au boot). Le nonce est base64 (jamais
+	* `{{nonce}}` : une concaténation s'il n'y en a qu'un, un `join` sinon (segments
+	* pré-split au boot). Le nonce est base64 (jamais
 	* `'`/`;`/espace) → aucune évasion possible du token CSP.
 	*
 	* @param nonce - nonce base64 de la requête (`Context.cspNonce`).
 	* @returns la valeur `Content-Security-Policy` à poser sur la réponse.
 	*/
 	cspFor(nonce) {
+		if (this.#cspPrefix !== null) return this.#cspPrefix + nonce + this.#cspSuffix;
 		return this.#cspParts.join(nonce);
 	}
 	/**

package/dist/nodefony/service/tokenService.js

@@ -1,7 +1,7 @@
 import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { ThrottledError } from "../errors/ThrottledError.js";
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
-import { resolveJwtRuntime } from "../src/token/jwtRuntime.js";
+import { defaultAudience, resolveJwtRuntime } from "../src/token/jwtRuntime.js";
 import { recordAudit } from "../src/audit/recordAudit.js";
 import { InvalidTargetError } from "../errors/InvalidTargetError.js";
 import { getTokenStoreFactory, listTokenStores } from "../src/token/tokenStoreRegistry.js";
@@ -250,8 +250,8 @@ var TokenService = class extends Service {
 	* @throws InvalidTargetError (400) si la ressource est multiple, malformée ou
 	*         non déclarée
 	*/
-	#resolveAudience(requested) {
-		const fallback = this.#runtime.audiences[0];
+	#resolveAudience(runtime, requested) {
+		const fallback = defaultAudience(runtime);
 		if (requested === void 0 || requested === null) return fallback;
 		if (Array.isArray(requested)) throw new InvalidTargetError("A single `resource` is accepted — a token valid at several resources lets each of them act at the others (RFC 8707 §3).");
 		if (typeof requested !== "string" || requested.length === 0) throw new InvalidTargetError("`resource` must be an absolute URI.");
@@ -262,7 +262,7 @@ var TokenService = class extends Service {
 			throw new InvalidTargetError("`resource` must be an absolute URI (RFC 8707 §2).", requested);
 		}
 		if (url.hash) throw new InvalidTargetError("`resource` must not include a fragment (RFC 8707 §2).", requested);
-		if (!this.#runtime.audiences.includes(requested)) throw new InvalidTargetError("The requested resource is not available to this application.", requested);
+		if (!runtime.audiences.includes(requested)) throw new InvalidTargetError("The requested resource is not available to this application.", requested);
 		return requested;
 	}
 	/**
@@ -304,12 +304,12 @@ var TokenService = class extends Service {
 		return requested.filter((scope) => !refuses.includes(scope));
 	}
 	async issueTokens(user, requestedScopes, resource, accessTtlS) {
-		this.#ensureReady();
+		const { store, runtime } = this.#ensureReady();
 		const scopes = this.#grantableScopes(user, requestedScopes && requestedScopes.length > 0 ? [...requestedScopes] : []);
-		const audience = this.#resolveAudience(resource);
+		const audience = this.#resolveAudience(runtime, resource);
 		const access = await this.#signAccess(user.identifier, scopes, audience, accessTtlS);
 		const { record, raw } = this.#buildRefresh(user.identifier, scopes, this.#randomId(), audience);
-		await this.#store.put(record);
+		await store.put(record);
 		recordAudit(this.container, {
 			category: "token",
 			action: "token.issued",
@@ -324,7 +324,7 @@ var TokenService = class extends Service {
 			access_token: access,
 			refresh_token: raw,
 			token_type: "Bearer",
-			expires_in: accessTtlS ?? this.#runtime.accessTtlS,
+			expires_in: accessTtlS ?? runtime.accessTtlS,
 			scope: scopes.join(" ")
 		};
 	}
@@ -345,11 +345,10 @@ var TokenService = class extends Service {
 	* @throws InvalidTargetError (400) — `resource` demandée ≠ celle accordée
 	*/
 	async refresh(rawRefresh, resource) {
-		this.#ensureReady();
+		const { store, runtime } = this.#ensureReady();
 		if (typeof rawRefresh !== "string" || rawRefresh.length === 0) throw new AuthenticationError("Invalid token");
-		const store = this.#store;
 		const record = await store.findByHash(this.#hash(rawRefresh));
-		if (!record || record.kind !== "refresh") throw new AuthenticationError("Invalid token");
+		if (record?.kind !== "refresh") throw new AuthenticationError("Invalid token");
 		if (record.revokedAt !== null) {
 			if (record.family) await store.revokeFamily(record.family, "reuse_detected");
 			recordAudit(this.container, {
@@ -369,14 +368,14 @@ var TokenService = class extends Service {
 		if (record.expiresAt !== null && record.expiresAt <= now) throw new AuthenticationError("Invalid token");
 		const user = await this.#resolveUserForRefresh(record.subjectId);
 		const scopes = [...record.scopes];
-		const audience = record.audience?.[0] ?? this.#runtime.audiences[0];
+		const audience = record.audience?.at(0) ?? defaultAudience(runtime);
 		if (resource !== void 0 && resource !== null && resource !== audience) throw new InvalidTargetError("The requested resource does not match the one granted to this token (RFC 8707 §2.2).", typeof resource === "string" ? resource : void 0);
 		const access = await this.#signAccess(user.identifier, scopes, audience);
-		if (!this.#runtime.rotateRefresh) return {
+		if (!runtime.rotateRefresh) return {
 			access_token: access,
 			refresh_token: rawRefresh,
 			token_type: "Bearer",
-			expires_in: this.#runtime.accessTtlS,
+			expires_in: runtime.accessTtlS,
 			scope: scopes.join(" ")
 		};
 		const family = record.family ?? this.#randomId();
@@ -390,14 +389,14 @@ var TokenService = class extends Service {
 			access_token: access,
 			refresh_token: next.raw,
 			token_type: "Bearer",
-			expires_in: this.#runtime.accessTtlS,
+			expires_in: runtime.accessTtlS,
 			scope: scopes.join(" ")
 		};
 	}
 	async #signAccess(subject, scopes, audience, ttlS) {
+		const { keystore, runtime: rt } = this.#ensureReady();
 		const jose = await this.#ensureJose();
-		const { key, kid } = await this.#keystore.getSigningKey();
-		const rt = this.#runtime;
+		const { key, kid } = await keystore.getSigningKey();
 		return new jose.SignJWT({ scope: scopes.join(" ") }).setProtectedHeader({
 			alg: "EdDSA",
 			kid,
@@ -434,7 +433,7 @@ var TokenService = class extends Service {
 				family,
 				replacedBy: null,
 				createdAt: now,
-				expiresAt: now + this.#runtime.refreshTtlS * 1e3,
+				expiresAt: now + this.#ensureReady().runtime.refreshTtlS * 1e3,
 				lastUsedAt: null,
 				lastUsedIp: null,
 				lastUsedUserAgent: null,
@@ -445,8 +444,18 @@ var TokenService = class extends Service {
 			raw
 		};
 	}
+	/**
+	* Garde d'initialisation : lève si le service n'est pas prêt, sinon rend le
+	* store, le keystore et le runtime typés non nuls. Aucun des trois n'est
+	* réassigné après le boot — les capturer équivaut à les relire plus tard.
+	*/
 	#ensureReady() {
 		if (!this.#store || !this.#keystore || !this.#runtime) throw new Error("TokenService: non initialisé (JWT désactivé ou store indisponible)");
+		return {
+			store: this.#store,
+			keystore: this.#keystore,
+			runtime: this.#runtime
+		};
 	}
 	async #ensureJose() {
 		return this.#jose ??= await import("jose");