@nodefony/security 10.0.0-alpha.9 → 10.0.0-beta.2

package/dist/nodefony/src/csp.js

@@ -7,10 +7,9 @@
 function parseCsp(csp) {
 	const out = [];
 	for (const part of csp.split(";")) {
-		const tokens = part.trim().split(/\s+/).filter(Boolean);
-		if (tokens.length === 0) continue;
-		const name = tokens[0];
-		out.push([name, tokens.slice(1)]);
+		const [name, ...sources] = part.trim().split(/\s+/).filter(Boolean);
+		if (name === void 0) continue;
+		out.push([name, sources]);
 	}
 	return out;
 }
@@ -39,7 +38,7 @@ function mergeCspFragments(base, fragments) {
 	for (const [name, src] of directives) index.set(name, src);
 	for (const fragment of fragments) for (const name in fragment) {
 		const additions = fragment[name];
-		if (additions.length === 0) continue;
+		if (additions === void 0 || additions.length === 0) continue;
 		let sources = index.get(name);
 		if (!sources) {
 			sources = [];

package/dist/nodefony/src/oauth/providers/github.js

@@ -69,7 +69,7 @@ function createGithubProvider(ctx) {
 			let emailVerified = email !== null;
 			if (email === null) {
 				const list = await ghGet(`${API}/user/emails`, accessToken);
-				const primary = list.find((e) => e.primary === true) ?? list[0] ?? null;
+				const primary = list.find((e) => e.primary === true) ?? list.at(0) ?? null;
 				if (primary && typeof primary.email === "string") {
 					email = primary.email;
 					emailVerified = primary.verified === true;

package/dist/nodefony/src/realtime/frameAuthorizer.js

@@ -161,7 +161,7 @@ function containsCI(s, needle) {
 * pas en altérant la casse du namespace.
 */
 function matchSystemPolicy(channel, rules) {
-	for (let i = 0; i < rules.length; i++) if (startsWithCI(channel, rules[i].prefix)) return floorReserved(channel, rules[i].policy);
+	for (const rule of rules) if (startsWithCI(channel, rule.prefix)) return floorReserved(channel, rule.policy);
 	if (containsCI(channel, ":health") || containsCI(channel, ":stats")) return SYSTEM_CHANNEL_POLICY;
 	return null;
 }
@@ -178,7 +178,7 @@ function matchSystemPolicy(channel, rules) {
 */
 function floorReserved(channel, policy) {
 	if (policy.authenticated) return policy;
-	for (let i = 0; i < RESERVED_FLOOR_PREFIXES.length; i++) if (startsWithCI(channel, RESERVED_FLOOR_PREFIXES[i])) return {
+	for (const prefix of RESERVED_FLOOR_PREFIXES) if (startsWithCI(channel, prefix)) return {
 		...policy,
 		authenticated: true
 	};
@@ -197,7 +197,7 @@ function satisfies(policy, token, firewall) {
 	if (policy.roles && policy.roles.length > 0) {
 		const userRoles = token.getRoles();
 		let granted = false;
-		for (let i = 0; i < policy.roles.length; i++) if (firewall.hasRole(userRoles, policy.roles[i])) {
+		for (const role of policy.roles) if (firewall.hasRole(userRoles, role)) {
 			granted = true;
 			break;
 		}
@@ -206,7 +206,7 @@ function satisfies(policy, token, firewall) {
 	if (policy.scopes && policy.scopes.length > 0) {
 		const userScopes = token.getScopes();
 		let granted = false;
-		for (let i = 0; i < policy.scopes.length; i++) if (userScopes.includes(policy.scopes[i])) {
+		for (const scope of policy.scopes) if (userScopes.includes(scope)) {
 			granted = true;
 			break;
 		}
@@ -279,9 +279,9 @@ function buildFrameAuthorizer(firewall, options) {
 	return (frame, token) => {
 		const f = frame;
 		const method = f?.method;
-		if (method === "api.request") return authorizeApiRequest(firewall, f.params, token, onDeny);
+		if (method === "api.request") return authorizeApiRequest(firewall, f?.params, token, onDeny);
 		if (method === "subscribe") {
-			const channel = f.params?.channel;
+			const channel = (f?.params)?.channel;
 			if (typeof channel !== "string") return true;
 			return authorizeChannel(channel, token, firewall, resolver, systemRules, onDeny);
 		}

package/dist/nodefony/src/token/JwtKeystore.js

@@ -31,7 +31,7 @@ const CLEANED_DIRS = ["var", "tmp"];
 function keystoreLeaksIntoImage(dir) {
 	const normalized = dir.replace(/\\/gu, "/").replace(/^\.\//u, "");
 	if (normalized.startsWith("/") || /^[A-Za-z]:/u.test(normalized)) return null;
-	const first = normalized.split("/")[0];
+	const [first = ""] = normalized.split("/");
 	if (CLEANED_DIRS.includes(first)) return null;
 	return `JWT keystore: « ${dir} » n'est PAS sous ${CLEANED_DIRS.map((d) => `\`${d}/\``).join(" ni ")}, les seuls dossiers que le Dockerfile généré efface avant de fabriquer l'image. La clé privée de signature partira donc dans ton image de conteneur, où elle reste lisible par quiconque la télécharge — même effacée par une couche suivante. Deux issues : déplacer le dossier sous \`var/\` (ex. \`var/keys\`), ou injecter la clé par jwt.keystore.keySetJson depuis l'environnement, ce qui est la voie de production.`;
 }
@@ -138,9 +138,9 @@ var JwtKeystore = class {
 				kid: stored.kid,
 				privateKey: imported,
 				publicJwk: {
-					kty: stored.kty,
-					crv: stored.crv,
-					x: stored.x,
+					...stored.kty !== void 0 && { kty: stored.kty },
+					...stored.crv !== void 0 && { crv: stored.crv },
+					...stored.x !== void 0 && { x: stored.x },
 					kid: stored.kid,
 					use: "sig",
 					alg: "EdDSA"
@@ -148,9 +148,10 @@ var JwtKeystore = class {
 				createdAt: stored.createdAt ?? Date.now()
 			});
 		}
-		if (loaded.length === 0) throw new Error("JwtKeystore: keyset vide");
+		const [firstKey] = loaded;
+		if (firstKey === void 0) throw new Error("JwtKeystore: keyset vide");
 		this.#keys = loaded;
-		this.#activeKid = keyset.active && loaded.some((k) => k.kid === keyset.active) ? keyset.active : loaded[0].kid;
+		this.#activeKid = keyset.active && loaded.some((k) => k.kid === keyset.active) ? keyset.active : firstKey.kid;
 	}
 	#parseKeyset(json) {
 		let parsed;

package/dist/nodefony/src/token/MemoryTokenStore.js

@@ -219,7 +219,7 @@ var MemoryTokenStore = class {
 		set.add(id);
 	}
 	#revokeRecord(record, reason) {
-		if (record && record.revokedAt === null) {
+		if (record?.revokedAt === null) {
 			record.revokedAt = this.#now();
 			record.revokedReason = reason;
 		}

package/dist/nodefony/src/token/jwtRuntime.js

@@ -15,5 +15,17 @@ function resolveJwtRuntime(jwt) {
 		alg: "EdDSA"
 	};
 }
+/**
+* Audience inscrite dans un jeton quand aucune ressource n'est demandée : la
+* première de la liste blanche. La liste n'est jamais vide après
+* {@link resolveJwtRuntime} ; un runtime construit à la main qui la laisserait
+* vide retombe sur la même règle — l'application est sa propre audience.
+*
+* @param runtime - paramètres JWT résolus
+* @returns l'audience par défaut
+*/
+function defaultAudience(runtime) {
+	return runtime.audiences[0] ?? runtime.issuer;
+}
 //#endregion
-export { resolveJwtRuntime };
+export { defaultAudience, resolveJwtRuntime };

package/dist/nodefony/src/token/tokenCriteria.js

@@ -28,6 +28,7 @@ function tokenStatusCriteria(status, now) {
 			revokedAt: { $null: true },
 			$or: [{ expiresAt: { $null: true } }, { expiresAt: { $gt: now } }]
 		};
+		case void 0:
 		default: return {};
 	}
 }

package/dist/nodefony/src/totp/totpCrypto.js

@@ -27,8 +27,8 @@ function base32Encode(buf) {
 	let bits = 0;
 	let value = 0;
 	let out = "";
-	for (let i = 0; i < buf.length; i++) {
-		value = value << 8 | buf[i];
+	for (const byte of buf) {
+		value = value << 8 | byte;
 		bits += 8;
 		while (bits >= 5) {
 			out += BASE32_ALPHABET[value >>> bits - 5 & 31];
@@ -48,9 +48,9 @@ function base32Decode(input) {
 	let bits = 0;
 	let value = 0;
 	const out = [];
-	for (let i = 0; i < clean.length; i++) {
-		const idx = BASE32_ALPHABET.indexOf(clean[i]);
-		if (idx === -1) throw new Error(`base32: caractère invalide « ${clean[i]} »`);
+	for (const char of clean) {
+		const idx = BASE32_ALPHABET.indexOf(char);
+		if (idx === -1) throw new Error(`base32: caractère invalide « ${char} »`);
 		value = value << 5 | idx;
 		bits += 5;
 		if (bits >= 8) {
@@ -85,8 +85,8 @@ function counterBuffer(counter) {
 */
 function hotp(secret, counter, digits = TOTP_DEFAULTS.digits, algorithm = TOTP_DEFAULTS.algorithm) {
 	const hs = createHmac(hmacName(algorithm), secret).update(counterBuffer(counter)).digest();
-	const offset = hs[hs.length - 1] & 15;
-	return (((hs[offset] & 127) << 24 | (hs[offset + 1] & 255) << 16 | (hs[offset + 2] & 255) << 8 | hs[offset + 3] & 255) % 10 ** digits).toString().padStart(digits, "0");
+	const offset = hs.readUInt8(hs.length - 1) & 15;
+	return ((hs.readUInt32BE(offset) & 2147483647) % 10 ** digits).toString().padStart(digits, "0");
 }
 /** Numéro de tranche temporelle `T` (RFC 6238 §4.2) pour un instant donné. */
 function totpCounter(epochSec, step = TOTP_DEFAULTS.step, t0 = TOTP_DEFAULTS.t0) {
@@ -216,8 +216,8 @@ function hashRecoveryCode(code) {
 function matchRecoveryCode(presented, hashes) {
 	const target = Buffer.from(hashRecoveryCode(presented));
 	let found = -1;
-	for (let i = 0; i < hashes.length; i++) {
-		const candidate = Buffer.from(hashes[i]);
+	for (const [i, hash] of hashes.entries()) {
+		const candidate = Buffer.from(hash);
 		if (candidate.length === target.length && timingSafeEqual(candidate, target)) found = i;
 	}
 	return found;

package/dist/nodefony/src/webhook/WebhookDispatcher.js

@@ -78,7 +78,7 @@ var WebhookDispatcher = class {
 	/** Empile une livraison ; **abandonne** (best-effort) si la file est pleine. */
 	#enqueue(job) {
 		if (this.#stopped) return;
-		if (this.#queue === null) this.#queue = [];
+		this.#queue ??= [];
 		if (this.#queue.length >= this.#deps.policy.maxQueue) {
 			this.#dropped++;
 			if (this.#dropped === 1 || this.#dropped % 100 === 0) this.#deps.log(`webhooks: file pleine (${this.#deps.policy.maxQueue}) — ${this.#dropped} livraison(s) abandonnée(s) (best-effort)`);
@@ -100,8 +100,9 @@ var WebhookDispatcher = class {
 	#pump() {
 		if (this.#queue === null || this.#stopped) return;
 		const max = this.#deps.policy.maxConcurrent;
-		while (this.#inFlight < max && this.#queue.length > 0) {
+		while (this.#inFlight < max) {
 			const job = this.#queue.shift();
+			if (job === void 0) break;
 			this.#inFlight++;
 			this.#process(job).finally(() => {
 				this.#inFlight--;
@@ -178,7 +179,7 @@ var WebhookDispatcher = class {
 	/** Replanifie la livraison après backoff (repasse par la file bornée). */
 	#scheduleRetry(job) {
 		if (this.#stopped) return;
-		if (this.#timers === null) this.#timers = /* @__PURE__ */ new Set();
+		this.#timers ??= /* @__PURE__ */ new Set();
 		const cancel = this.#deps.schedule(() => {
 			this.#timers?.delete(cancel);
 			this.#enqueue({

package/dist/types/nodefony/contracts/IAuditEvent.d.ts

@@ -18,7 +18,11 @@
  * filtre qui ne rend jamais rien induit en erreur — cf `studio/.../auditModel.ts`).
  * En câbler une = ajouter son émetteur ICI (l'émetteur), puis la métadonnée
  * d'affichage dans `AUDIT_CATEGORIES`. Émettent réellement : auth, authz, token,
- * session, webauthn, ws, webhook, config (`config.update`).
+ * session, webauthn, ws, webhook, config (`config.update`, `log.debug.*`).
+ *
+ * Un émetteur hors de `@nodefony/security` ne peut pas importer ce type et passe
+ * la catégorie en `string` : `tests/unit/auditCategoryEmitters.test.ts` relit
+ * les sources de tous les paquets pour refuser une catégorie hors contrat.
  */
 export type AuditCategory = "auth" | "authz" | "token" | "session" | "oauth" | "webauthn" | "csrf" | "cors" | "ws" | "webhook" | "config";
 /**
@@ -85,7 +89,7 @@ export interface IAuditEvent {
      */
     flags?: IAuditEventFlags;
     /** Extras applicatifs libres (anti-migration) ; absents par défaut. */
-    metadata?: Record<string, unknown>;
+    metadata?: Record<string, unknown> | undefined;
 }
 /**
  * Champs fournis par l'**émetteur** d'un événement — l'`AuditService` y ajoute

package/dist/types/nodefony/contracts/IFirewall.d.ts

@@ -1,4 +1,4 @@
-import type { ContextType } from "@nodefony/http";
+import type { ContextType, IFirewallGate } from "@nodefony/http";
 import type { IAuthenticator } from "./IAuthenticator.js";
 import type { ISecuredArea } from "./ISecuredArea.js";
 import type { CspFragment } from "../src/csp.js";
@@ -11,7 +11,7 @@ import type { IProtectedResourceInput } from "nodefony";
  * `context.security`. `handleSecurity()` (lazy, seulement si la requête est dans
  * une zone) exécute CORS → headers → authenticators → Zero Trust → CSRF.
  */
-export interface IFirewall {
+export interface IFirewall extends IFirewallGate {
     /** Match rapide de zone (pose `context.security`). `true` si zone capturée. */
     isSecure(context: ContextType): boolean;
     /** Pipeline complet d'authentification de la zone. Rejette (401/403) ou résout. */

package/dist/types/nodefony/contracts/IFirewallDescription.d.ts

@@ -78,11 +78,11 @@ export interface IFirewallDefensesDescription {
         frameguard: "deny" | "sameorigin";
         noSniff: boolean;
         referrerPolicy: string;
-        coop?: string;
-        coep?: string;
-        corp?: string;
-        originAgentCluster?: boolean;
-        permissionsPolicy?: string;
+        coop?: string | undefined;
+        coep?: string | undefined;
+        corp?: string | undefined;
+        originAgentCluster?: boolean | undefined;
+        permissionsPolicy?: string | undefined;
     };
     rateLimit: {
         enabled: boolean;

package/dist/types/nodefony/contracts/ISecuredArea.d.ts

@@ -1,4 +1,4 @@
-import type { ContextType } from "@nodefony/http";
+import type { ContextType, ISecurityZone } from "@nodefony/http";
 /**
  * Zone sécurisée — un pattern d'URL + la liste des authenticators à exécuter.
  *
@@ -7,7 +7,7 @@ import type { ContextType } from "@nodefony/http";
  * `defineSecurityConfig({ areas })` — patterns compilés et triés au boot, conflits
  * détectés au boot (pas au premier match runtime).
  */
-export interface ISecuredArea {
+export interface ISecuredArea extends ISecurityZone {
     /** Nom de la zone (`"main_api"`, `"admin"`…). */
     readonly name: string;
     /** Pattern d'URL compilé. */
@@ -29,7 +29,7 @@ export interface ISecuredArea {
     /** Noms des authenticators à exécuter (sémantique selon {@link mode}). */
     readonly authenticators: readonly string[];
     /** Domaine/vhost de la zone (ex. `admin.exemple.com`). Omis = tous domaines. */
-    readonly host?: string;
+    readonly host?: string | undefined;
     /**
      * URI canonique de la ressource protégée par cette zone — l'**audience**
      * qu'un jeton doit porter pour y être accepté (RFC 8707 §2).
@@ -44,7 +44,7 @@ export interface ISecuredArea {
      * Omise, une zone reste parfaitement utilisable par les authenticators qui
      * n'en ont pas besoin (session, mot de passe, jetons maison).
      */
-    readonly resource?: string;
+    readonly resource?: string | undefined;
     /**
      * Zone valable AUSSI pour le WebSocket (frames `api.request` + `subscribe`),
      * pas seulement HTTP. Défaut `true` (Zero Trust : une zone protégée ferme TOUS

package/dist/types/nodefony/contracts/ITokenStore.d.ts

@@ -27,7 +27,7 @@ export interface IResourcePermission {
     /** Type de ressource (ex. `"repo"`, `"project"`). */
     type: string;
     /** Identifiants ciblés (omis = toutes les ressources de ce type). */
-    ids?: string[];
+    ids?: string[] | undefined;
     /** Permissions accordées sur ces ressources. */
     perms: Array<"read" | "write">;
 }
@@ -36,9 +36,9 @@ export interface ITokenUsage {
     /** Instant d'usage (epoch ms). */
     at: number;
     /** IP source, si disponible. */
-    ip?: string | null;
+    ip?: string | null | undefined;
     /** User-Agent source, si disponible. */
-    userAgent?: string | null;
+    userAgent?: string | null | undefined;
 }
 /**
  * Enregistrement d'un jeton persistant — un PAT (clé API style GitHub) ou un

package/dist/types/nodefony/contracts/ITotpSecretStore.d.ts

@@ -46,13 +46,13 @@ export interface ITotpListQuery extends IPageQuery {
 /** Champs mutables d'un secret TOTP (patch partiel). */
 export interface TotpSecretUpdate {
     /** Confirmation de l'enrôlement (epoch ms) — passe le secret en « actif ». */
-    confirmedAt?: number | null;
+    confirmedAt?: number | null | undefined;
     /** Stock résiduel de codes de récupération hachés (après consommation). */
-    recoveryCodes?: string[];
+    recoveryCodes?: string[] | undefined;
     /** Dernière tranche `T` validée (anti-rejeu RFC 6238 §5.2). */
-    lastUsedStep?: number;
+    lastUsedStep?: number | undefined;
     /** Horodatage du dernier usage réussi (epoch ms). */
-    lastUsedAt?: number;
+    lastUsedAt?: number | undefined;
 }
 /**
  * Store **pluggable** du secret TOTP par utilisateur — découple le cœur du backend

package/dist/types/nodefony/contracts/IWebAuthnCredentialStore.d.ts

@@ -28,7 +28,7 @@ export interface IWebAuthnCredentialSummary {
     /** Compteur de signatures (anti-clone WebAuthn §6.1.1). */
     readonly signCount: number;
     /** Nom donné à l'appareil par l'utilisateur, si renseigné. */
-    readonly nickname?: string;
+    readonly nickname?: string | undefined;
     /** Enrôlement (epoch ms). */
     readonly createdAt: number;
     /** Dernière authentification réussie (epoch ms), ou `null` = jamais servie. */

package/dist/types/nodefony/errors/InvalidTargetError.d.ts

@@ -23,7 +23,7 @@ export declare class InvalidTargetError extends nodefonyError {
     /** Code d'erreur OAuth à rendre au client (RFC 6749 §5.2 / RFC 8707 §2). */
     readonly oauthError = "invalid_target";
     /** Ce que le client a demandé, tel qu'il l'a écrit — pour le journal. */
-    readonly requested?: string;
+    readonly requested?: string | undefined;
     /**
      * @param description - raison, destinée à `error_description` (aucune fuite :
      *          elle qualifie la DEMANDE, jamais la configuration du serveur)

package/dist/types/nodefony/errors/UnverifiableTokenError.d.ts

@@ -27,7 +27,7 @@ import { nodefonyError } from "nodefony";
  */
 export declare class UnverifiableTokenError extends nodefonyError {
     /** Cause technique, destinée au JOURNAL — jamais au client. */
-    readonly detail?: string;
+    readonly detail?: string | undefined;
     /**
      * @param detail - cause technique pour le journal ; n'apparaît jamais dans le
      *          message rendu au client

package/dist/types/nodefony/service/firewall.d.ts

@@ -25,8 +25,9 @@ import type { IFirewallDescription, IRoleHierarchyDescription } from "../contrac
  * d'identité down, câblage manquant) → log ERROR serveur + 401 générique
  * (aucun détail ne fuite au client).
  *
- * Conformité : tout 401 porte un challenge `WWW-Authenticate` (RFC 7235) fourni
- * par le premier authenticator de la zone qui en déclare un.
+ * Conformité : tout 401 porte un challenge `WWW-Authenticate` (RFC 9110
+ * §15.5.2) — celui du premier authenticator de la zone qui en déclare un, sinon
+ * le défi de repli {@link FALLBACK_CHALLENGE}.
  *
  * CORS, CSRF et autorisation par décorateurs viennent se brancher en S4/S5.
  * Toutes les structures sont **lazy** (perf : une app sans zone = zéro alloc).

package/dist/types/nodefony/service/securityHeaders.d.ts

@@ -13,11 +13,11 @@ export interface ISecurityHeadersOptions {
     csp: string;
     cspNonces: boolean;
     referrerPolicy: string;
-    coop?: string;
-    coep?: string;
-    corp?: string;
-    originAgentCluster?: boolean;
-    permissionsPolicy?: string;
+    coop?: string | undefined;
+    coep?: string | undefined;
+    corp?: string | undefined;
+    originAgentCluster?: boolean | undefined;
+    permissionsPolicy?: string | undefined;
 }
 /**
  * En-têtes de sécurité **applicatifs** de Nodefony (couche `@nodefony/security`,
@@ -43,7 +43,8 @@ export declare class SecurityHeaders {
     get hasNonce(): boolean;
     /**
      * Recompose le CSP en injectant le `nonce` de la requête aux emplacements
-     * `{{nonce}}`. 1 `join` (segments pré-split au boot). Le nonce est base64 (jamais
+     * `{{nonce}}` : une concaténation s'il n'y en a qu'un, un `join` sinon (segments
+     * pré-split au boot). Le nonce est base64 (jamais
      * `'`/`;`/espace) → aucune évasion possible du token CSP.
      *
      * @param nonce - nonce base64 de la requête (`Context.cspNonce`).

package/dist/types/nodefony/src/SecuredArea.d.ts

@@ -15,9 +15,9 @@ export declare class SecuredArea implements ISecuredArea {
     readonly stateless: boolean;
     readonly mode: "first" | "all";
     readonly authenticators: readonly string[];
-    readonly host?: string;
+    readonly host?: string | undefined;
     readonly realtime: boolean;
-    readonly resource?: string;
+    readonly resource?: string | undefined;
     /**
      * Rôles exigés par défaut dans la zone, ou `null` quand elle n'en exige
      * aucun. `null` plutôt qu'un tableau vide : le hot path teste une référence,

package/dist/types/nodefony/src/authenticator/SessionAuthenticator.d.ts

@@ -14,9 +14,11 @@ import type { IToken } from "../../contracts/IToken.js";
  * démarre jamais rien lui-même. L'identité est re-résolue à CHAQUE requête
  * via {@link resolveSessionIdentity} (rôles frais, révocation immédiate).
  *
- * Pas de `challenge()` : une session absente/expirée donne un 401 nu — le
- * client web redirige vers son écran de login, jamais de popup Basic. Si la
- * zone liste aussi `userpassword`, le firewall pose SON challenge (RFC 7235).
+ * Pas de `challenge()` : sur une zone à session seule, le firewall pose son
+ * défi de repli `Session realm="nodefony"` (RFC 9110 §15.5.2 : tout 401 en
+ * porte un) — schéma inconnu des navigateurs, donc jamais de popup Basic ; le
+ * client web redirige vers son écran de login. Si la zone liste aussi
+ * `userpassword`, le firewall pose SON challenge.
  */
 export declare class SessionAuthenticator implements IAuthenticator {
     #private;

package/dist/types/nodefony/src/oauth/oauth2Client.d.ts

@@ -137,9 +137,9 @@ export interface IOAuth2ClientOptions {
      * Implémentation de `fetch` à employer — la voie pour éprouver l'échange sans
      * réseau, plutôt que de remplacer le `fetch` global du processus.
      */
-    readonly fetch?: typeof globalThis.fetch;
+    readonly fetch?: typeof globalThis.fetch | undefined;
     /** Délai d'attente de l'échange, en millisecondes. */
-    readonly timeoutMs?: number;
+    readonly timeoutMs?: number | undefined;
 }
 /**
  * Client d'un serveur d'autorisation donné : construit l'URL d'autorisation puis

package/dist/types/nodefony/src/oauth/oauthProviderRegistry.d.ts

@@ -33,7 +33,7 @@ export interface IOAuthProviderContext {
      * champ, la forme serait ouverte dans le client et INATTEIGNABLE depuis une
      * application — donc absente.
      */
-    readonly clientAuthMethod?: OAuth2ClientAuthMethod;
+    readonly clientAuthMethod?: OAuth2ClientAuthMethod | undefined;
     /** URL de callback exacte (RFC 9700). */
     readonly redirectUri: string;
     /**
@@ -41,7 +41,7 @@ export interface IOAuthProviderContext {
      * `https://kc.example/realms/app`) — `undefined` pour les fournisseurs dont
      * l'émetteur est connu d'avance (Google) ou qui n'en publient pas (GitHub).
      */
-    readonly issuer?: string;
+    readonly issuer?: string | undefined;
 }
 /**
  * Fabrique d'un fournisseur OAuth pour un nom donné.

package/dist/types/nodefony/src/realtime/realtimeContracts.d.ts

@@ -83,11 +83,11 @@ export type FrameAuthorizer = (frame: unknown, token: IRealtimeToken) => boolean
  */
 export interface IChannelPolicy {
     /** Exige une connexion authentifiée (token non anonyme). */
-    readonly authenticated?: boolean;
+    readonly authenticated?: boolean | undefined;
     /** Un de ces rôles suffit (évalué AVEC la hiérarchie de rôles du firewall). */
-    readonly roles?: readonly string[];
+    readonly roles?: readonly string[] | undefined;
     /** Un de ces scopes suffit (axe API : JWT/clé API ; session BFF n'en porte pas). */
-    readonly scopes?: readonly string[];
+    readonly scopes?: readonly string[] | undefined;
 }
 /**
  * Surface consommée du `realtimeService` (miroir partiel de `RealtimeService`) —

package/dist/types/nodefony/src/token/JwtKeystore.d.ts

@@ -5,9 +5,9 @@ type LogFn = (message: string, severity: string) => void;
 /** Source de clé configurée (`config.jwt.keystore`). */
 interface KeystoreSource {
     /** JWK Set (clés privées) injecté depuis l'env — source `env` (prod). */
-    readonly keySetJson?: string;
+    readonly keySetJson?: string | undefined;
     /** Dossier de persistance `keyset.json` — source `fichier` (opt-in dev/VPS). */
-    readonly dir?: string;
+    readonly dir?: string | undefined;
 }
 /**
  * Le trousseau va-t-il partir dans l'image de conteneur ?

package/dist/types/nodefony/src/token/RemoteJwtVerifier.d.ts

@@ -20,7 +20,7 @@ export interface ITrustedIssuer {
      * une requête au démarrage à froid. Déclaré, il fait autorité : rien n'est
      * découvert.
      */
-    jwksUri?: string;
+    jwksUri?: string | undefined;
     /**
      * Jeu de clés fourni LOCALEMENT — aucune requête, aucune découverte.
      *
@@ -58,7 +58,7 @@ export interface ITrustedIssuer {
      * réglé finement. La séparation entre jetons est déjà assurée par l'audience,
      * qui, elle, n'est pas facultative.
      */
-    typ?: string;
+    typ?: string | undefined;
     /** Claims dont la PRÉSENCE est exigée, en plus de `iss`/`aud`/`sub`. */
     requiredClaims?: readonly string[];
 }

package/dist/types/nodefony/src/token/jwtRuntime.d.ts

@@ -26,3 +26,13 @@ export interface IJwtRuntime {
  * propre audience (`[issuer]`).
  */
 export declare function resolveJwtRuntime(jwt: ISecurityConfig["jwt"]): IJwtRuntime;
+/**
+ * Audience inscrite dans un jeton quand aucune ressource n'est demandée : la
+ * première de la liste blanche. La liste n'est jamais vide après
+ * {@link resolveJwtRuntime} ; un runtime construit à la main qui la laisserait
+ * vide retombe sur la même règle — l'application est sa propre audience.
+ *
+ * @param runtime - paramètres JWT résolus
+ * @returns l'audience par défaut
+ */
+export declare function defaultAudience(runtime: IJwtRuntime): string;