@nodefony/security 10.0.0-beta.2 → 10.0.0-beta.4

package/dist/nodefony/src/token/scopeGrants.js

@@ -0,0 +1,109 @@
+import { ADMIN_SCOPE_READ, ADMIN_SCOPE_WRITE, refusedAdminScopes } from "nodefony";
+// nodefony/src/token/scopeGrants.ts
+const SCOPE_TOKEN = /^[\x21\x23-\x5B\x5D-\x7E]+$/u;
+const WILDCARD_SUFFIX = ":*";
+/**
+* Clés que `grantableScopes` refuse : le plan d'administration est jugé par le
+* framework, et une déclaration ici serait soit sans effet, soit un
+* assouplissement — deux pièges que rien ne signalerait.
+*/
+const RESERVED_SCOPE_GRANT_KEYS = [
+	ADMIN_SCOPE_READ,
+	ADMIN_SCOPE_WRITE,
+	"admin:*"
+];
+/**
+* Dit pourquoi une clé de `grantableScopes` est invalide, ou `null` si elle
+* est acceptable.
+*
+* Une clé est un `scope-token` (RFC 6749 §3.3) ; un `*` n'y est admis qu'en
+* dernière position, juste après `:` (une famille `préfixe:*`).
+*
+* @param key - la clé déclarée.
+* @returns le motif du refus, ou `null`.
+*/
+function scopeGrantKeyProblem(key) {
+	if (!SCOPE_TOKEN.test(key)) return "n'est pas un scope valide (RFC 6749 §3.3 : ni espace, ni guillemet, ni barre oblique inverse)";
+	const star = key.indexOf("*");
+	if (star !== -1 && (star !== key.length - 1 || !key.endsWith(WILDCARD_SUFFIX) || key.length === 2)) return "porte un `*` ailleurs qu'en fin de famille (`préfixe:*`)";
+	if (RESERVED_SCOPE_GRANT_KEYS.includes(key)) return "est réservé au plan d'administration du framework (les scopes `admin:read`/`admin:write` sont accordés au seul rôle ROLE_NODEFONY_ADMIN)";
+	return null;
+}
+/**
+* Politique d'attribution des scopes d'application, compilée une fois au boot.
+*
+* Résolution : une clé EXACTE l'emporte sur une famille, et la famille la plus
+* longue sur une plus courte (`shop:admin:*` > `shop:*`). Le résultat ne dépend
+* donc pas de l'ordre des clés. Un scope qu'aucune clé ne couvre reste accordé
+* à tout porteur (comportement historique).
+*/
+var ScopeGrantPolicy = class {
+	#exact = /* @__PURE__ */ new Map();
+	#families = [];
+	/**
+	* @param grants - la section `grantableScopes`, déjà validée par le schéma.
+	*/
+	constructor(grants = {}) {
+		for (const [key, roles] of Object.entries(grants)) if (key.endsWith(WILDCARD_SUFFIX)) this.#families.push([key.slice(0, -1), roles]);
+		else this.#exact.set(key, roles);
+		this.#families.sort((a, b) => b[0].length - a[0].length);
+	}
+	/** `true` si aucune clé n'est déclarée — tout scope d'application est accordé. */
+	get isEmpty() {
+		return this.#exact.size === 0 && this.#families.length === 0;
+	}
+	/**
+	* Les rôles dont UN suffit pour obtenir ce scope.
+	*
+	* @param scope - un scope demandé.
+	* @returns les rôles de la clé la plus spécifique, ou `null` si aucune clé ne
+	*   le couvre (scope libre).
+	*/
+	rolesFor(scope) {
+		const exact = this.#exact.get(scope);
+		if (exact !== void 0) return exact;
+		for (const [prefix, roles] of this.#families) if (scope.startsWith(prefix)) return roles;
+		return null;
+	}
+};
+/**
+* Les scopes demandés que ce porteur ne peut pas obtenir, avec la règle qui
+* refuse chacun.
+*
+* Seul juge des DEUX familles, appelé par chaque émetteur de l'application
+* (jeton d'accès, clé API) : la règle d'administration du framework
+* ({@link refusedAdminScopes}, jugée sur les rôles PLATS du compte, comme le
+* plan d'administration) et la politique de l'application
+* ({@link ScopeGrantPolicy}, jugée hiérarchie de rôles comprise, comme un
+* `@IsGranted`).
+*
+* @param requested - scopes demandés (RFC 6749 §3.3).
+* @param roles - rôles du porteur, tels que son compte les porte.
+* @param policy - politique compilée de `grantableScopes`.
+* @param hierarchy - hiérarchie de rôles ; absente, seuls les rôles plats comptent.
+* @returns les refus, dans l'ordre de la demande — vide si tout est accordé.
+*/
+function refusedScopes(requested, roles, policy, hierarchy) {
+	const admin = refusedAdminScopes(requested, roles);
+	if (admin.length === 0 && policy.isEmpty) return [];
+	let reachable = null;
+	const out = [];
+	for (const scope of requested) {
+		if (admin.includes(scope)) {
+			out.push({
+				scope,
+				rule: "admin"
+			});
+			continue;
+		}
+		const allowed = policy.rolesFor(scope);
+		if (allowed === null) continue;
+		reachable ??= hierarchy ? hierarchy.reachableRoles(roles) : new Set(roles);
+		if (!allowed.some((role) => reachable?.has(role))) out.push({
+			scope,
+			rule: "application"
+		});
+	}
+	return out;
+}
+export { RESERVED_SCOPE_GRANT_KEYS, ScopeGrantPolicy, refusedScopes, scopeGrantKeyProblem };

package/dist/nodefony/src/token/secretFile.js

@@ -1,8 +1,9 @@
 import path from "node:path";
 import { chmodSync, mkdirSync, readFileSync, renameSync, rmSync, statSync, writeFileSync } from "node:fs";
-import { mkdir, readFile, rename, rm, stat, writeFile } from "node:fs/promises";
+import { randomUUID } from "node:crypto";
+import { link, mkdir, readFile, rename, rm, stat, writeFile } from "node:fs/promises";
 import process from "node:process";
-//#region nodefony/src/token/secretFile.ts
+// nodefony/src/token/secretFile.ts
 /**
 * Écrire un SECRET sur disque — la seule implémentation du dépôt.
 *
@@ -113,6 +114,62 @@ async function writeSecret(file, content) {
 		throw e;
 	}
 }
+/**
+* Codes d'un système de fichiers qui ne sait pas poser de lien dur (FAT, exFAT,
+* certains montages réseau) — et non d'une cible déjà présente.
+*/
+const NO_HARD_LINK = /* @__PURE__ */ new Set([
+	"EPERM",
+	"ENOTSUP",
+	"ENOSYS",
+	"EOPNOTSUPP"
+]);
+/**
+* Crée un secret SEULEMENT s'il n'existe pas encore : 0600, atomique, et un
+* seul gagnant quand plusieurs process le tentent en même temps.
+*
+* ⭐ **Pourquoi pas {@link writeSecret}.** `rename` REMPLACE la cible : deux
+* workers de `nodefony cluster` qui génèrent chacun une clé au premier boot
+* l'écrivent tous les deux, le dernier gagne sur le disque — et l'autre garde
+* en mémoire une clé que plus personne ne connaît. Ici, le temporaire est
+* publié par un LIEN DUR, que le système refuse (`EEXIST`) si le nom existe :
+* le perdant le sait, et relit la clé du gagnant. Le lecteur ne voit jamais un
+* fichier à demi écrit, puisque le lien n'apparaît qu'une fois le contenu complet.
+*
+* ⚠️ Un système de fichiers sans liens durs (FAT, exFAT) retombe sur une
+* création exclusive directe (`wx`) : toujours un seul gagnant, mais un lecteur
+* concurrent peut lire le fichier pendant son écriture — il lève alors, au lieu
+* de signer avec une clé divergente.
+*
+* @param file - chemin du secret.
+* @param content - contenu à écrire.
+* @returns `true` si ce process l'a créé, `false` s'il existait déjà.
+*/
+async function createSecretExclusive(file, content) {
+	await mkdir(path.dirname(file), { recursive: true });
+	const tmp = `${file}.${process.pid}.${randomUUID()}.tmp`;
+	await writeFile(tmp, content, { mode: 384 });
+	try {
+		await link(tmp, file);
+		return true;
+	} catch (e) {
+		const code = e.code ?? "";
+		if (code === "EEXIST") return false;
+		if (!NO_HARD_LINK.has(code)) throw e;
+		try {
+			await writeFile(file, content, {
+				mode: 384,
+				flag: "wx"
+			});
+			return true;
+		} catch (fallback) {
+			if (fallback.code === "EEXIST") return false;
+			throw fallback;
+		}
+	} finally {
+		await rm(tmp, { force: true }).catch(() => {});
+	}
+}
 /** Forme synchrone de {@link writeSecret}. */
 function writeSecretSync(file, content) {
 	mkdirSync(path.dirname(file), { recursive: true });
@@ -130,5 +187,4 @@ function writeSecretSync(file, content) {
 		chmodSync(file, 384);
 	} catch {}
 }
-//#endregion
-export { MODE_SECRET, messageNonRestreint, modeNonRestreint, modeNonRestreintAsync, readIfPresent, readIfPresentSync, writeSecret, writeSecretSync };
+export { MODE_SECRET, createSecretExclusive, messageNonRestreint, modeNonRestreint, modeNonRestreintAsync, readIfPresent, readIfPresentSync, writeSecret, writeSecretSync };

package/dist/nodefony/src/token/tokenCriteria.js

@@ -1,4 +1,4 @@
-//#region nodefony/src/token/tokenCriteria.ts
+// nodefony/src/token/tokenCriteria.ts
 /**
 * Fragment de critère **portable** exprimant l'état de vie d'un jeton — la
 * traduction que les adapters SQL et Mongo partagent au lieu de la réécrire.
@@ -32,5 +32,4 @@ function tokenStatusCriteria(status, now) {
 		default: return {};
 	}
 }
-//#endregion
 export { tokenStatusCriteria };

package/dist/nodefony/src/token/tokenFilters.js

@@ -1,4 +1,4 @@
-//#region nodefony/src/token/tokenFilters.ts
+// nodefony/src/token/tokenFilters.ts
 /**
 * **Le vocabulaire de filtre des jetons**, en noms PUBLICS — ceux qu'un client
 * écrit dans l'URL (`?status=revoked`), jamais des noms de colonne.
@@ -68,5 +68,4 @@ const TOKEN_FACETS = {
 * Un test verrouille l'accord entre cette liste et {@link TOKEN_FACETS}.
 */
 const TOKEN_STATS_FILTERS = { subjectId: "string" };
-//#endregion
 export { TOKEN_FACETS, TOKEN_FILTERS, TOKEN_STATS_FILTERS };

package/dist/nodefony/src/token/tokenSort.js

@@ -1,4 +1,4 @@
-//#region nodefony/src/token/tokenSort.ts
+// nodefony/src/token/tokenSort.ts
 /**
 * **Le vocabulaire de tri des jetons**, en noms PUBLICS — ceux qu'un client écrit
 * dans l'URL (`?order=createdAt:DESC`), jamais des noms de colonne.
@@ -36,5 +36,4 @@ const TOKEN_SORTABLE_FIELDS = [
 * ligne entre deux pages).
 */
 const TOKEN_DEFAULT_ORDER = [["createdAt", "DESC"], ["id", "DESC"]];
-//#endregion
 export { TOKEN_DEFAULT_ORDER, TOKEN_SORTABLE_FIELDS };

package/dist/nodefony/src/token/tokenStatus.js

@@ -1,4 +1,4 @@
-//#region nodefony/src/token/tokenStatus.ts
+// nodefony/src/token/tokenStatus.ts
 /**
 * **La** définition de l'état d'un jeton — un seul exemplaire, pour les backends
 * qui évaluent en mémoire (store mémoire, filtrage inline d'un batch `SCAN`).
@@ -31,5 +31,4 @@ function tokenStatusOf(token, now) {
 function matchesTokenStatus(token, status, now) {
 	return status === void 0 || tokenStatusOf(token, now) === status;
 }
-//#endregion
 export { matchesTokenStatus, tokenStatusOf };

package/dist/nodefony/src/token/tokenStoreRegistry.js

@@ -1,5 +1,5 @@
 import { MemoryTokenStore } from "./MemoryTokenStore.js";
-//#region nodefony/src/token/tokenStoreRegistry.ts
+// nodefony/src/token/tokenStoreRegistry.ts
 const factories = /* @__PURE__ */ new Map();
 /**
 * Enregistre (ou remplace) la fabrique d'un store de jetons. Appelée par le
@@ -21,5 +21,4 @@ registerTokenStore("memory", (ctx) => {
 	const days = ctx?.config?.tokenStore?.retentionRevokedDays;
 	return typeof days === "number" ? new MemoryTokenStore(Date.now, days * 864e5) : new MemoryTokenStore();
 });
-//#endregion
 export { getTokenStoreFactory, listTokenStores, registerTokenStore };

package/dist/nodefony/src/totp/MemoryTotpSecretStore.js

@@ -1,5 +1,5 @@
 import { assertPageQuery } from "nodefony";
-//#region nodefony/src/totp/MemoryTotpSecretStore.ts
+// nodefony/src/totp/MemoryTotpSecretStore.ts
 /**
 * Projette un secret en vue d'introspection — **le seul endroit** où l'on
 * décide ce qui sort d'un store TOTP en mémoire. `secretEnc` et les condensats
@@ -105,5 +105,4 @@ var MemoryTotpSecretStore = class {
 		for (const secret of snapshot.secrets) this.#byUser.set(secret.userId, secret);
 	}
 };
-//#endregion
 export { MemoryTotpSecretStore, MemoryTotpSecretStore as default, matchesTotpQuery, toTotpEnrollment };

package/dist/nodefony/src/totp/totpCipher.js

@@ -1,6 +1,6 @@
 import { decryptSecret, deriveKey, encryptSecret, generateEphemeralKey } from "../crypto/secretCipher.js";
 import { Buffer } from "node:buffer";
-//#region nodefony/src/totp/totpCipher.ts
+// nodefony/src/totp/totpCipher.ts
 /**
 * Chiffrement réversible du secret TOTP au repos — façade de domaine au-dessus
 * de la brique générique {@link ../crypto/secretCipher}.
@@ -26,5 +26,4 @@ const TOTP_DERIVATION = {
 function deriveTotpKey(material) {
 	return deriveKey(material, TOTP_DERIVATION);
 }
-//#endregion
 export { decryptSecret, deriveTotpKey, encryptSecret, generateEphemeralKey };

package/dist/nodefony/src/totp/totpCrypto.js

@@ -1,5 +1,5 @@
 import { createHash, createHmac, randomBytes, timingSafeEqual } from "node:crypto";
-//#region nodefony/src/totp/totpCrypto.ts
+// nodefony/src/totp/totpCrypto.ts
 /** Paramètres TOTP — défauts interopérables (Google Authenticator). */
 const TOTP_DEFAULTS = {
 	/** Taille du secret en octets (RFC 4226 R6 : 160 bits recommandés). */
@@ -222,5 +222,4 @@ function matchRecoveryCode(presented, hashes) {
 	}
 	return found;
 }
-//#endregion
 export { TOTP_DEFAULTS, base32Decode, base32Encode, buildOtpauthUri, generateRecoveryCodes, generateTotpSecret, hashRecoveryCode, hotp, matchRecoveryCode, totpCode, totpCounter, unbiasedIndices, verifyTotp };

package/dist/nodefony/src/totp/totpOperations.js

@@ -1,7 +1,7 @@
 import { decryptSecret, encryptSecret } from "../crypto/secretCipher.js";
 import "./totpCipher.js";
 import { base32Encode, buildOtpauthUri, generateRecoveryCodes, generateTotpSecret, hashRecoveryCode, matchRecoveryCode, verifyTotp } from "./totpCrypto.js";
-//#region nodefony/src/totp/totpOperations.ts
+// nodefony/src/totp/totpOperations.ts
 /**
 * Démarre l'enrôlement : génère un secret aléatoire, le **chiffre** au repos et
 * l'enregistre en attente de confirmation (`confirmedAt: null`). Retourne le
@@ -125,5 +125,4 @@ async function totpStatus(deps, userId) {
 		recoveryCodesRemaining: record.recoveryCodes.length
 	};
 }
-//#endregion
 export { beginTotpEnrollment, confirmTotpEnrollment, disableTotp, totpStatus, verifyTotpLogin };

package/dist/nodefony/src/totp/totpSecretStoreRegistry.js

@@ -1,5 +1,5 @@
 import { MemoryTotpSecretStore } from "./MemoryTotpSecretStore.js";
-//#region nodefony/src/totp/totpSecretStoreRegistry.ts
+// nodefony/src/totp/totpSecretStoreRegistry.ts
 const factories = /* @__PURE__ */ new Map();
 /** Enregistre (ou remplace) la fabrique d'un store de secrets TOTP. */
 function registerTotpStore(name, factory) {
@@ -14,5 +14,4 @@ function listTotpStores() {
 	return [...factories.keys()];
 }
 registerTotpStore("memory", () => new MemoryTotpSecretStore());
-//#endregion
 export { getTotpStoreFactory, listTotpStores, registerTotpStore };

package/dist/nodefony/src/transport/CredentialTransportPolicy.js

@@ -0,0 +1,50 @@
+import { InsecureTransportError } from "../../errors/InsecureTransportError.js";
+// nodefony/src/transport/CredentialTransportPolicy.ts
+/**
+* Dit si un secret de connexion se refuse : en production, sans échappement
+* explicite. Seule source de la décision — le firewall la compose au boot.
+*
+* @param environment - environnement normalisé du kernel.
+* @param allowInsecureCredentials - échappement `security.allowInsecureCredentials`.
+*/
+function shouldEnforceCredentialTransport(environment, allowInsecureCredentials) {
+	return environment === "production" && !allowInsecureCredentials;
+}
+/**
+* Refuse, avant toute vérification, un mot de passe ou un code de second
+* facteur reçu en clair. Une instance partagée au conteneur (`credentialTransport`)
+* sert TOUTES les portes qui reçoivent un secret : formulaire de session, second
+* facteur, Basic, émission de jeton — une porte oubliée serait le canal clair.
+*
+* La décision se prend sur le scheme EFFECTIF (`context.scheme`) : derrière un
+* proxy qui termine TLS et déclaré de confiance, il vaut `https` alors que le
+* pod écoute en HTTP. C'est le cas de la plupart des déploiements ; c'est donc
+* `trustProxy` que nomme le journal, pas « passez en HTTPS ».
+*/
+var CredentialTransportPolicy = class {
+	enforce;
+	#log;
+	#warned = false;
+	constructor(options) {
+		this.enforce = options.enforce;
+		this.#log = options.log ?? null;
+	}
+	/**
+	* Laisse passer un secret reçu sur TLS, ou n'importe lequel hors production.
+	*
+	* @param context - contexte de la requête qui porte le secret.
+	* @param door - porte qui le reçoit, nommée dans le journal.
+	* @throws InsecureTransportError (403) — secret reçu en clair en production.
+	*/
+	assert(context, door) {
+		if (!this.enforce) return;
+		const scheme = context.scheme;
+		if (scheme === "https" || scheme === "wss") return;
+		if (!this.#warned && this.#log !== null) {
+			this.#warned = true;
+			this.#log(`Secret de connexion REFUSÉ (${door}) : la requête est arrivée en ${scheme ?? "scheme inconnu"} en production. Derrière un proxy qui termine TLS, déclarez-le de confiance (\`trustProxy\`, config @nodefony/http) pour que \`X-Forwarded-Proto\` soit lu ; sinon servez l'application en HTTPS. Échappement explicite : \`security.allowInsecureCredentials\`. Les refus suivants ne sont plus journalisés ici (voir l'audit).`);
+		}
+		throw new InsecureTransportError();
+	}
+};
+export { CredentialTransportPolicy, shouldEnforceCredentialTransport };

package/dist/nodefony/src/voter/RoleVoter.js

@@ -1,6 +1,6 @@
 import { RoleHierarchyWalker } from "../RoleHierarchyWalker.js";
 import "../../contracts/IAccessVoter.js";
-//#region nodefony/src/voter/RoleVoter.ts
+// nodefony/src/voter/RoleVoter.ts
 /**
 * Voter built-in **niveau A** — résout les attributs `ROLE_*` via la hiérarchie
 * de rôles ({@link RoleHierarchyWalker}).
@@ -28,5 +28,4 @@ var RoleVoter = class {
 		return Promise.resolve(vote);
 	}
 };
-//#endregion
 export { RoleVoter, RoleVoter as default };

package/dist/nodefony/src/voter/ScopeVoter.js

@@ -1,5 +1,5 @@
 import "../../contracts/IAccessVoter.js";
-//#region nodefony/src/voter/ScopeVoter.ts
+// nodefony/src/voter/ScopeVoter.ts
 /**
 * Types de jetons **non scopables** — identité humaine interactive (session BFF
 * web/Studio/WS, login mot de passe) ou visiteur anonyme. Un scope `api:action`
@@ -48,5 +48,4 @@ var ScopeVoter = class {
 		return Promise.resolve(token.getScopes().includes(attribute) ? "GRANT" : "ABSTAIN");
 	}
 };
-//#endregion
 export { ScopeVoter, ScopeVoter as default };

package/dist/nodefony/src/voter/voterRegistry.js

@@ -1,6 +1,6 @@
 import { RoleVoter } from "./RoleVoter.js";
 import { ScopeVoter } from "./ScopeVoter.js";
-//#region nodefony/src/voter/voterRegistry.ts
+// nodefony/src/voter/voterRegistry.ts
 const factories = /* @__PURE__ */ new Map();
 /**
 * Enregistre (ou remplace) la fabrique d'un voter. Appelé par les builtins au
@@ -16,5 +16,4 @@ function listVoterFactories() {
 }
 registerVoterFactory("role", ({ container }) => new RoleVoter(container));
 registerVoterFactory("scope", () => new ScopeVoter());
-//#endregion
 export { listVoterFactories, registerVoterFactory };

package/dist/nodefony/src/webauthn/MemoryWebAuthnCredentialStore.js

@@ -1,5 +1,5 @@
 import { assertPageQuery } from "nodefony";
-//#region nodefony/src/webauthn/MemoryWebAuthnCredentialStore.ts
+// nodefony/src/webauthn/MemoryWebAuthnCredentialStore.ts
 /**
 * Projection contractuelle : credential complet → vue admin **sans `publicKey`**.
 * Partagée par les backends qui matérialisent des credentials en mémoire.
@@ -135,5 +135,4 @@ var MemoryWebAuthnCredentialStore = class {
 		}
 	}
 };
-//#endregion
 export { MemoryWebAuthnCredentialStore, MemoryWebAuthnCredentialStore as default, toWebAuthnSummary };

package/dist/nodefony/src/webauthn/webAuthnCredentialStoreRegistry.js

@@ -1,5 +1,5 @@
 import { MemoryWebAuthnCredentialStore } from "./MemoryWebAuthnCredentialStore.js";
-//#region nodefony/src/webauthn/webAuthnCredentialStoreRegistry.ts
+// nodefony/src/webauthn/webAuthnCredentialStoreRegistry.ts
 const factories = /* @__PURE__ */ new Map();
 /** Enregistre (ou remplace) la fabrique d'un store de credentials WebAuthn. */
 function registerWebAuthnStore(name, factory) {
@@ -14,5 +14,4 @@ function listWebAuthnStores() {
 	return [...factories.keys()];
 }
 registerWebAuthnStore("memory", () => new MemoryWebAuthnCredentialStore());
-//#endregion
 export { getWebAuthnStoreFactory, listWebAuthnStores, registerWebAuthnStore };

package/dist/nodefony/src/webhook/MemoryWebhookStore.js

@@ -1,6 +1,6 @@
 import { WEBHOOK_DEFAULT_ORDER, WEBHOOK_SORTABLE_FIELDS } from "./webhookSort.js";
 import { assertPageQuery, compareByOrder, pickOrder } from "nodefony";
-//#region nodefony/src/webhook/MemoryWebhookStore.ts
+// nodefony/src/webhook/MemoryWebhookStore.ts
 /**
 * Applique les filtres d'{@link IWebhookListQuery} à un endpoint — sémantique de
 * RÉFÉRENCE du contrat, partagée par les backends qui filtrent en mémoire.
@@ -91,5 +91,4 @@ var MemoryWebhookStore = class {
 		return n;
 	}
 };
-//#endregion
 export { MemoryWebhookStore, matchesWebhookQuery };

package/dist/nodefony/src/webhook/WebhookDispatcher.js

@@ -1,5 +1,5 @@
 import { webhookSignatureHeaders } from "./webhookSignature.js";
-//#region nodefony/src/webhook/WebhookDispatcher.ts
+// nodefony/src/webhook/WebhookDispatcher.ts
 /**
 * Dispatcher de webhooks sortants — abonné au journal d'audit, il filtre les
 * événements par souscription, signe (Standard Webhooks v1) et livre, **sans
@@ -205,5 +205,4 @@ var WebhookDispatcher = class {
 		this.#queue = null;
 	}
 };
-//#endregion
 export { WebhookDispatcher, backoffMs, classifyDelivery, matchesSubscription };

package/dist/nodefony/src/webhook/webhookCipher.js

@@ -1,6 +1,6 @@
 import { decryptSecret, deriveKey, encryptSecret, generateEphemeralKey } from "../crypto/secretCipher.js";
 import { Buffer } from "node:buffer";
-//#region nodefony/src/webhook/webhookCipher.ts
+// nodefony/src/webhook/webhookCipher.ts
 /**
 * Chiffrement réversible du secret de signature webhook au repos — façade de
 * domaine au-dessus de {@link ../crypto/secretCipher} (calque {@link ../totp/totpCipher}).
@@ -23,5 +23,4 @@ const WEBHOOK_DERIVATION = {
 function deriveWebhookKey(material) {
 	return deriveKey(material, WEBHOOK_DERIVATION);
 }
-//#endregion
 export { decryptSecret, deriveWebhookKey, encryptSecret, generateEphemeralKey };

package/dist/nodefony/src/webhook/webhookDelivery.js

@@ -2,7 +2,7 @@ import { Buffer } from "node:buffer";
 import { isIP } from "node:net";
 import { request } from "node:https";
 import { request as request$1 } from "node:http";
-//#region nodefony/src/webhook/webhookDelivery.ts
+// nodefony/src/webhook/webhookDelivery.ts
 /**
 * Émetteur HTTP d'une livraison webhook — `node:http(s)` natif (0 dép). Trois
 * propriétés de sécurité par rapport à `fetch` :
@@ -98,5 +98,4 @@ function deliverWebhook(url, body, headers, opts) {
 		req.end();
 	});
 }
-//#endregion
 export { deliverWebhook };

package/dist/nodefony/src/webhook/webhookFilters.js

@@ -1,4 +1,4 @@
-//#region nodefony/src/webhook/webhookFilters.ts
+// nodefony/src/webhook/webhookFilters.ts
 /**
 * **Le vocabulaire de filtre des endpoints webhook**, en noms PUBLICS — ceux
 * qu'un client écrit dans l'URL (`?enabled=false&event=user.created`).
@@ -52,5 +52,4 @@ const WEBHOOK_FACETS = {
 * Un test verrouille l'accord entre cette liste et {@link WEBHOOK_FACETS}.
 */
 const WEBHOOK_STATS_FILTERS = { event: "string" };
-//#endregion
 export { WEBHOOK_FACETS, WEBHOOK_FILTERS, WEBHOOK_STATS_FILTERS };

package/dist/nodefony/src/webhook/webhookSignature.js

@@ -1,6 +1,6 @@
 import { createHmac } from "node:crypto";
 import { Buffer } from "node:buffer";
-//#region nodefony/src/webhook/webhookSignature.ts
+// nodefony/src/webhook/webhookSignature.ts
 /**
 * Signature des webhooks sortants — schéma **Standard Webhooks v1**
 * (standardwebhooks.com), choisi plutôt que RFC 9421 (trop lourd pour un webhook,
@@ -47,5 +47,4 @@ function webhookSignatureHeaders(secret, id, timestampS, body) {
 		"webhook-signature": signStandardWebhook(secret, id, timestampS, body)
 	};
 }
-//#endregion
 export { buildSignatureBase, parseWebhookSecret, signStandardWebhook, webhookSignatureHeaders };

package/dist/nodefony/src/webhook/webhookSort.js

@@ -1,4 +1,4 @@
-//#region nodefony/src/webhook/webhookSort.ts
+// nodefony/src/webhook/webhookSort.ts
 /**
 * **Le vocabulaire de tri des endpoints webhook**, en noms PUBLICS — ceux qu'un
 * client écrit dans l'URL (`?order=failureCount:DESC`), jamais des noms de
@@ -44,5 +44,4 @@ const WEBHOOK_SORTABLE_FIELDS = [
 * des deux ne jamais apparaître.
 */
 const WEBHOOK_DEFAULT_ORDER = [["createdAt", "DESC"], ["id", "ASC"]];
-//#endregion
 export { WEBHOOK_DEFAULT_ORDER, WEBHOOK_SORTABLE_FIELDS };

package/dist/nodefony/src/webhook/webhookStoreRegistry.js

@@ -1,5 +1,5 @@
 import { MemoryWebhookStore } from "./MemoryWebhookStore.js";
-//#region nodefony/src/webhook/webhookStoreRegistry.ts
+// nodefony/src/webhook/webhookStoreRegistry.ts
 const factories = /* @__PURE__ */ new Map();
 /** Enregistre (ou remplace) la fabrique d'un store d'endpoints webhook. */
 function registerWebhookStore(name, factory) {
@@ -14,5 +14,4 @@ function listWebhookStores() {
 	return [...factories.keys()];
 }
 registerWebhookStore("memory", () => new MemoryWebhookStore());
-//#endregion
 export { getWebhookStoreFactory, listWebhookStores, registerWebhookStore };

package/dist/types/index.d.ts

@@ -10,6 +10,7 @@ import ApiKeyService from "./nodefony/service/apiKeys.js";
 import AuditService from "./nodefony/service/auditService.js";
 import TotpService from "./nodefony/service/totp.js";
 import WebhookService from "./nodefony/service/webhooks.js";
+import KeycloakService from "./nodefony/service/keycloak.js";
 import type { ISecurityConfigInput } from "./nodefony/config/defineModuleConfig.js";
 declare module "nodefony" {
     interface NodefonyModuleConfig {
@@ -25,7 +26,7 @@ declare module "nodefony" {
  * + Zod validée au boot (fail-closed si invalide). Consomme `@nodefony/user`
  * (IUser/IUserProvider/IPasswordVerifier) — jamais l'inverse.
  *
- * Livré : firewall (zones, mode first|all, challenge RFC 7235), authenticators
+ * Livré : firewall (zones, mode first|all, challenge RFC 9110 §11), authenticators
  * `anonymous`/`userpassword` (Basic RFC 7617)/`session` (BFF, J3), flux
  * login/logout/me (`AuthFlow`, anti-fixation + throttling partagé).
  * Jwt/oauth2/mtls/apikey, CORS, CSRF, autorisation par décorateurs et data
@@ -48,6 +49,14 @@ declare class Security extends Module {
      * No-op si le broker est absent (Studio non chargé) ou déjà enregistré.
      */
     onKernelBoot(): Promise<this>;
+    /**
+     * Déclare au bilan de démarrage les routes métier laissées PUBLIQUES.
+     *
+     * `onReady` et pas `onBoot` : les zones sont compilées par le pare-feu à son
+     * propre `onBoot`, posé APRÈS celui du module — à `onBoot` la liste est encore
+     * vide. `onReady` précède l'écriture du bilan (`var/last-boot.json`).
+     */
+    onKernelReady(): Promise<this>;
 }
 export default Security;
 export { Firewall };
@@ -63,8 +72,11 @@ export { OAuth2Service };
 export { AuditService };
 export { TotpService };
 export { WebhookService };
+export { KeycloakService };
+export type { IKeycloakRealmPlan, IKeycloakRealmRequest, } from "./nodefony/service/keycloak.js";
 export type { IWebhookRegisterInput, IWebhookSecretReveal, IWebhookDeliveryPolicy, } from "./nodefony/service/webhooks.js";
 export type { ISafeUser, ILoginOutcome } from "./nodefony/service/authFlow.js";
+export { amrForFactor } from "./nodefony/src/sessionAuthentication.js";
 export type { ITokenResponse } from "./nodefony/service/tokenService.js";
 export type { IApiKeyView, IApiKeyCreated, IApiKeyCapabilities, ICreateApiKeyOptions, } from "./nodefony/contracts/IApiKey.js";
 export { ApiKeyError } from "./nodefony/errors/ApiKeyError.js";
@@ -114,14 +126,20 @@ export type { IWebAuthnUser, IWebAuthnAssertionResult, } from "./nodefony/servic
 export type { IWebAuthnCredential } from "./nodefony/contracts/IWebAuthnCredential.js";
 export type { IWebAuthnCredentialStore, IWebAuthnCredentialSummary, IWebAuthnListQuery, WebAuthnAuthUpdate, } from "./nodefony/contracts/IWebAuthnCredentialStore.js";
 export type { IOAuthAuthorization } from "./nodefony/service/oauth2.js";
-export type { IOAuthProvider, IIssuerPolicy, } from "./nodefony/contracts/IOAuthProvider.js";
-export { registerOAuthProvider, getOAuthProviderFactory, listOAuthProviders, } from "./nodefony/src/oauth/oauthProviderRegistry.js";
-export type { OAuthProviderFactory, IOAuthProviderContext, } from "./nodefony/src/oauth/oauthProviderRegistry.js";
+export type { IOAuthProvider, IIssuerPolicy, ILogoutRequest, ILogoutTokenClaims, } from "./nodefony/contracts/IOAuthProvider.js";
+export { registerOAuthProvider, getOAuthProviderFactory, listOAuthProviders, oauthProviderRequiresIssuer, } from "./nodefony/src/oauth/oauthProviderRegistry.js";
+export type { OAuthProviderFactory, IOAuthProviderContext, IOAuthProviderRegistration, } from "./nodefony/src/oauth/oauthProviderRegistry.js";
 export { OAuth2Client, OAuth2Tokens, OAuth2RequestError, generateState, generateCodeVerifier, createCodeChallenge, } from "./nodefony/src/oauth/oauth2Client.js";
 export type { IOAuth2ClientOptions } from "./nodefony/src/oauth/oauth2Client.js";
 export { discoverAuthorizationServer } from "./nodefony/src/oauth/metadata.js";
+export { requestClientCredentialsToken } from "./nodefony/src/oauth/clientCredentials.js";
+export type { IClientCredentialsRequest } from "./nodefony/src/oauth/clientCredentials.js";
+export { diagnoseOAuthProvider } from "./nodefony/src/oauth/providerDiagnosis.js";
+export type { IOAuthDiagnosis, IOAuthDiagnosisInput, IOAuthCheck, OAuthCheckName, OAuthCheckStatus, OAuthFailureKind, } from "./nodefony/src/oauth/providerDiagnosis.js";
+export { KeycloakAdminClient, KeycloakAdminError, keycloakAdminTarget, keycloakLoginThemeCheck, readKeycloakLoginTheme, } from "./nodefony/keycloak/keycloakAdmin.js";
+export type { IKeycloakAdminClientOptions, IKeycloakAdminCredentials, IKeycloakAdminTarget, IKeycloakLoginThemeResult, KeycloakLoginThemeOutcome, } from "./nodefony/keycloak/keycloakAdmin.js";
 export type { IDiscoveredAuthorizationServer, IDiscoveryOptions, } from "./nodefony/src/oauth/metadata.js";
-export { createOidcProvider, createDiscoveredOidcProvider, } from "./nodefony/src/oauth/providers/oidc.js";
+export { createOidcProvider, createDiscoveredOidcProvider, readLogoutTokenClaims, } from "./nodefony/src/oauth/providers/oidc.js";
 export type { IOidcPkceClient, IOidcProviderOptions, } from "./nodefony/src/oauth/providers/oidc.js";
 export { createGithubProvider } from "./nodefony/src/oauth/providers/github.js";
 export { MemoryAuditStore } from "./nodefony/src/audit/MemoryAuditStore.js";
@@ -159,6 +177,8 @@ export { defineSecurityConfig, securityConfigJsonSchema, } from "./nodefony/conf
 export type { ISecurityConfig, ISecurityConfigInput, ISecurityAreaConfig, } from "./nodefony/config/defineModuleConfig.js";
 export { LoginThrottler } from "./nodefony/src/throttle/LoginThrottler.js";
 export type { ILoginThrottleOptions } from "./nodefony/src/throttle/LoginThrottler.js";
-export { AuthenticationError, AccessDeniedError, ThrottledError, UnverifiableTokenError, InvalidTargetError, CsrfError, SsrfError, } from "./nodefony/errors/index.js";
+export { CredentialTransportPolicy, shouldEnforceCredentialTransport, } from "./nodefony/src/transport/CredentialTransportPolicy.js";
+export type { ICredentialTransportContext, ICredentialTransportPolicyOptions, } from "./nodefony/src/transport/CredentialTransportPolicy.js";
+export { AuthenticationError, AccessDeniedError, ThrottledError, UnverifiableTokenError, InvalidTargetError, CsrfError, SsrfError, InsecureTransportError, } from "./nodefony/errors/index.js";
 export { VoterVote } from "./nodefony/contracts/index.js";
 export type { IToken, IAuthenticator, ISecuredArea, IFirewall, IAccessVoter, IAuthorizationService, IAccessTokenRecord, ITokenStore, ITokenListQuery, ITokenUsage, IResourcePermission, TokenRevokeReason, TokenStatus, IJwtKeystore, IJwtSigningKey, } from "./nodefony/contracts/index.js";