@nodefony/security 10.0.0-beta.3 → 10.0.0-beta.5

package/dist/nodefony/keycloak/security-keycloak-realm.js

@@ -2,7 +2,7 @@ import { KeycloakRealmError } from "./keycloakRealmInput.js";
 import { KeycloakAdminError } from "./keycloakAdmin.js";
 import { Command } from "nodefony";
 import path from "node:path";
-//#region nodefony/keycloak/security-keycloak-realm.ts
+// nodefony/keycloak/security-keycloak-realm.ts
 const options = {
 	helpGroup: "COMPTES ET SECRETS",
 	showBanner: false,
@@ -47,7 +47,10 @@ const EXIT_CONFIG = 78;
 */
 var SecurityKeycloakRealm = class extends Command {
 	constructor(cli) {
-		super("security:keycloak:realm", "écrit le realm Keycloak déduit de la configuration", cli, options);
+		super("security:keycloak:realm", "écrit le realm Keycloak déduit de la configuration", cli, {
+			...options,
+			examples: ["nodefony security:keycloak:realm --check", "nodefony security:keycloak:realm --write"]
+		});
 		this.addOption("-w, --write [fichier]", "écrit le realm fusionné dans le fichier d'import");
 		this.addOption("-c, --check [fichier]", "sort en 1 si le fichier d'import n'est plus à jour");
 		this.addOption("-a, --apply", "pose le thème de connexion sur le realm existant (développement)");
@@ -124,5 +127,4 @@ var SecurityKeycloakRealm = class extends Command {
 		}
 	}
 };
-//#endregion
 export { SecurityKeycloakRealm as default };

package/dist/nodefony/scaffold/contribute.js

@@ -1,5 +1,5 @@
 import { contributeKeycloak } from "../keycloak/scaffold.js";
-//#region nodefony/scaffold/contribute.ts
+// nodefony/scaffold/contribute.ts
 /**
 * Le point de contribution de `@nodefony/security` : ce que le paquet livre à
 * une application, déclaré dans son `package.json` (`nodefony.contribute`) et
@@ -16,5 +16,4 @@ import { contributeKeycloak } from "../keycloak/scaffold.js";
 function contribute(context) {
 	contributeKeycloak(context);
 }
-//#endregion
 export { contribute };

package/dist/nodefony/service/accessTokenVerifier.js

@@ -1,25 +1,52 @@
+import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
+import { UserToken } from "../src/token/UserToken.js";
+import peekIssuer from "../src/authenticator/peekIssuer.js";
+import { JwtAuthenticator } from "../src/authenticator/JwtAuthenticator.js";
+import { ExternalSubjectResolver, externalSubjectOptions } from "../src/authenticator/ExternalSubjectResolver.js";
+import { resolveJwtRuntime } from "../src/token/jwtRuntime.js";
 import { RemoteJwtVerifier } from "../src/token/RemoteJwtVerifier.js";
-import { ACCESS_TOKEN_VERIFIER, Service, canonicalIssuer } from "nodefony";
-//#region nodefony/service/accessTokenVerifier.ts
+import { ACCESS_ACCOUNT_RESOLVER, ACCESS_TOKEN_VERIFIER, Service } from "nodefony";
+// nodefony/service/accessTokenVerifier.ts
 const serviceName = ACCESS_TOKEN_VERIFIER;
 /**
-* Pose (ou non) le vérificateur de jetons d'accès TIERS dans le conteneur.
+* Pose (ou non) le vérificateur de jetons d'accès dans le conteneur — celui
+* qu'une ressource protégée (porte MCP, zone `external-jwt`) interroge.
 *
-* Ce service est une **décision de câblage**, pas de la cryptographie : toute la
-* mécanique vit dans {@link RemoteJwtVerifier}, et la doctrine de refus dans le
-* cœur (`nodefony/src/oauth/`). Ici, on lit la configuration et on tranche une
-* seule question — cette application accepte-t-elle des jetons émis ailleurs ?
+* Ce service est une **décision de câblage**, pas de la cryptographie : la
+* vérification d'un jeton TIERS vit dans {@link RemoteJwtVerifier}, celle d'un
+* jeton de CETTE application dans {@link JwtAuthenticator}, et la doctrine de
+* refus dans le cœur (`nodefony/src/oauth/`). Ici, on tranche deux questions :
+* l'application signe-t-elle ses jetons, et en accepte-t-elle d'ailleurs ?
 *
-* **Aucun émetteur déclaré = rien n'est posé**, et c'est le comportement voulu :
-* une porte protégée qui ne trouve pas de vérificateur refuse de servir en le
-* disant (503 + CRITIC), là où un vérificateur présent mais vide refuserait
+* ⭐ **Un jeton signé par cette application est TOUJOURS vérifiable**, dès que
+* sa capacité JWT est active (`security.jwt.enabled`, le défaut) — sans rien
+* déclarer dans `resourceServer.issuers`. Une application qui émet un jeton
+* pour sa propre porte (`nodefony security:mcp:token --resource …`) doit pouvoir
+* le lire : sans cette règle, la porte refusait un jeton parfaitement valide,
+* et l'application était un serveur d'autorisation dont aucune ressource ne
+* reconnaissait la signature. Rien de nouveau ne devient valide : l'audience
+* reste exigée, et seules celles de `jwt.audiences` sont émises.
+*
+* 🔴 **Il est vérifié par les règles de l'authentificateur `jwt`, pas par son
+* jeu de clés seul** : révocation ciblée et en masse, compte encore actif. Lu
+* comme un jeton tiers, un jeton RÉVOQUÉ — ou celui d'un compte désactivé —
+* ouvrait encore la porte jusqu'à son expiration.
+*
+* L'aiguillage se fait sur l'émetteur revendiqué (`peekIssuer`), comme dans le
+* pare-feu : l'émetteur de l'application va à la vérification locale, tout
+* autre à la liste fermée des émetteurs tiers. Un émetteur inconnu est refusé
+* sans la moindre requête sortante.
+*
+* **Rien à vérifier = rien n'est posé** (capacité JWT coupée, aucun émetteur
+* tiers) : une porte protégée qui ne trouve pas de vérificateur refuse alors de
+* servir en le disant (503 + CRITIC), là où un vérificateur vide refuserait
 * chaque jeton un par un — même résultat pour l'appelant, diagnostic beaucoup
 * plus difficile pour l'exploitant.
 *
-* Le coût est nul quand la capacité n'est pas utilisée : rien n'est instancié,
-* aucune requête n'est faite au démarrage. La découverte des clés n'a lieu qu'au
-* PREMIER jeton réellement présenté, et une seule fois par émetteur.
+* Le coût est nul tant qu'aucun jeton n'est présenté : aucune requête au
+* démarrage, clés locales lues au premier jeton, découverte d'un émetteur tiers
+* au premier jeton qui s'en réclame.
 */
 var AccessTokenVerifierService = class extends Service {
 	module;
@@ -29,7 +56,7 @@ var AccessTokenVerifierService = class extends Service {
 		this.module = module;
 		this.kernel?.once("onBoot", () => this.#build());
 	}
-	/** Le vérificateur, ou `null` si aucun émetteur n'est déclaré. */
+	/** Le vérificateur posé, ou `null` si rien n'est vérifiable. */
 	get verifier() {
 		return this.#verifier;
 	}
@@ -40,23 +67,13 @@ var AccessTokenVerifierService = class extends Service {
 		} catch {
 			return;
 		}
+		const runtime = config.jwt.enabled ? resolveJwtRuntime(config.jwt) : null;
+		const local = runtime === null ? null : new JwtAuthenticator(this.container, runtime);
 		const { issuers, ...tuning } = config.resourceServer;
-		if (issuers.length === 0) {
-			this.log("aucun émetteur de confiance déclaré (security.resourceServer.issuers) — les jetons émis par un serveur d'autorisation tiers ne sont pas vérifiables ; une porte protégée refusera de servir.", "DEBUG");
-			return;
-		}
-		const localIssuer = config.jwt.issuer;
-		const armed = issuers.map((trusted) => localIssuer && canonicalIssuer(trusted.issuer) === canonicalIssuer(localIssuer) ? {
-			...trusted,
-			localJwks: async () => {
-				const keystore = this.container?.get("jwtKeystore");
-				if (!keystore) throw new Error(`l'émetteur « ${trusted.issuer} » est cette application, mais sa capacité JWT n'est pas armée (security.jwt) — aucune clé locale à présenter`);
-				return keystore.getPublicJWKS();
-			}
-		} : trusted);
-		try {
-			this.#verifier = new RemoteJwtVerifier({
-				issuers: armed,
+		let remote = null;
+		if (issuers.length > 0) try {
+			remote = new RemoteJwtVerifier({
+				issuers,
 				timeoutMs: tuning.timeoutMs,
 				cooldownMs: tuning.cooldownMs,
 				cacheMaxAgeMs: tuning.cacheMaxAgeMs,
@@ -67,11 +84,61 @@ var AccessTokenVerifierService = class extends Service {
 			this.log(`vérificateur de jetons non armé — ${error.message}`, "CRITIC");
 			return;
 		}
-		const verify = (token, audience) => this.#verifier.verify(token, audience);
+		if (local === null && remote === null) {
+			this.log("rien à vérifier — capacité JWT coupée (security.jwt.enabled) et aucun émetteur tiers (security.resourceServer.issuers) : une porte protégée refusera de servir.", "DEBUG");
+			return;
+		}
+		const localIssuer = runtime?.issuer ?? null;
+		const verify = (token, audience) => {
+			if (local !== null && peekIssuer(token) === localIssuer) return local.verifyForResource(token, audience);
+			return remote === null ? Promise.resolve(null) : remote.verify(token, audience);
+		};
+		this.#verifier = verify;
 		this.container?.set(serviceName, verify);
-		const locaux = armed.filter((i) => "localJwks" in i).length;
-		this.log(`vérificateur de jetons armé — ${issuers.length} émetteur(s) de confiance : ` + issuers.map((i) => i.issuer).join(", ") + (locaux > 0 ? ` (dont ${locaux} servi par les clés LOCALES, sans requête)` : ""), "INFO");
+		this.container?.set(ACCESS_ACCOUNT_RESOLVER, accountResolver(local, issuers.length > 0 ? new ExternalSubjectResolver(this.container, externalSubjectOptions(config)) : null));
+		const trusted = [...localIssuer === null ? [] : [`${localIssuer} (cette application)`], ...issuers.map((i) => i.issuer)];
+		this.log(`vérificateur de jetons armé — ${trusted.length} émetteur(s) de confiance : ` + trusted.join(", "), "INFO");
 	}
 };
-//#endregion
+/**
+* Le résolveur de compte posé à côté du vérificateur : il retrouve, pour un
+* principal que celui-ci vient d'établir, le compte de l'application qui agit.
+*
+* Aiguillé par l'émetteur, comme le vérificateur : un jeton maison rejoue la
+* règle de la zone `jwt` (`JwtAuthenticator.resolveAccount`), un jeton tiers
+* celle de la zone `external-jwt` (`ExternalSubjectResolver`). Aucune n'est
+* recopiée ici. Un refus rend `null` ; une panne (annuaire non câblé,
+* émetteur absent de la table de rattachement) traverse.
+*
+* Le jeton rendu est un `UserToken` de type `"mcp"` — hors des types humains
+* que le voteur de scopes laisse passer : les scopes du jeton bornent les
+* attributs `api:action`, et les rôles restent ceux du compte, comme dans une
+* zone `jwt`.
+*/
+function accountResolver(local, external) {
+	return async (principal) => {
+		let user = null;
+		if (local !== null) user = await local.resolveAccount(principal);
+		if (user === null && external !== null && principal.subject) {
+			if (!external.recognizes(principal.issuer)) return null;
+			try {
+				user = await external.resolve(principal.issuer, principal.subject, principal.claims);
+			} catch (error) {
+				if (error instanceof AuthenticationError) return null;
+				throw error;
+			}
+		}
+		if (user === null) return null;
+		const token = new UserToken("mcp").promote(user);
+		token.setAttribute("scopes", [...principal.scopes]);
+		token.setAttribute("issuer", principal.issuer);
+		token.setAttribute("subject", principal.subject);
+		if (principal.tokenId !== void 0) token.setAttribute("jti", principal.tokenId);
+		if (principal.claims !== void 0) token.setAttribute("claims", principal.claims);
+		return {
+			token,
+			user
+		};
+	};
+}
 export { AccessTokenVerifierService, AccessTokenVerifierService as default };

package/dist/nodefony/service/apiKeys.js

@@ -1,11 +1,13 @@
+import { ScopeGrantPolicy, refusedScopes } from "../src/token/scopeGrants.js";
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
+import { ACCOUNT_ID_KEY, CREDENTIALS_VERSION_KEY, credentialsVersionOf } from "../src/accountBinding.js";
 import { generateApiKey } from "../src/apikey/apiKeyFormat.js";
 import { recordAudit } from "../src/audit/recordAudit.js";
 import { TOKEN_FACETS } from "../src/token/tokenFilters.js";
 import { ApiKeyError } from "../errors/ApiKeyError.js";
 import { Service, countFacets } from "nodefony";
 import { randomUUID } from "node:crypto";
-//#region nodefony/service/apiKeys.ts
+// nodefony/service/apiKeys.ts
 const serviceName = "apiKeys";
 const MAX_NAME_LEN = 100;
 const MS_PER_DAY = 864e5;
@@ -32,6 +34,8 @@ var ApiKeyService = class extends Service {
 	#defaultExpiryDays = 90;
 	#maxPerSubject = 100;
 	#allowedScopes = null;
+	/** `grantableScopes` compilé au boot ; `null` tant que la config n'est pas lue. */
+	#scopeGrants = null;
 	constructor(module) {
 		super(serviceName, module.container, module.notificationsCenter, module.options);
 		this.module = module;
@@ -54,6 +58,7 @@ var ApiKeyService = class extends Service {
 		this.#defaultExpiryDays = ak.defaultExpiryDays;
 		this.#maxPerSubject = ak.maxPerSubject;
 		this.#allowedScopes = ak.allowedScopes;
+		this.#scopeGrants = new ScopeGrantPolicy(config.grantableScopes);
 		this.log(`api keys ready — prefix "${ak.prefix}_", max ${ak.maxPerSubject}/porteur`, "DEBUG");
 	}
 	/** `true` si les clés API sont activées en config. */
@@ -83,17 +88,31 @@ var ApiKeyService = class extends Service {
 	* Émet une nouvelle clé API pour un porteur — renvoie sa vue publique **+ le
 	* token en clair** (affiché une seule fois).
 	*
+	* Un scope que le porteur ne peut pas OBTENIR — réservé par
+	* `grantableScopes` à des rôles qu'il n'a pas, ou `admin:*` sans le rôle
+	* d'administration — refuse la création entière : une clé émise avec moins
+	* que demandé surprendrait sans qu'aucune réponse ne le dise. Même juge que
+	* l'émission des jetons ({@link refusedScopes}).
+	*
+	* @param roles - rôles du porteur tels que son compte les porte ; omis =
+	*   aucun rôle, donc tout scope réservé est refusé (fail-closed).
 	* @throws ApiKeyError 400 — nom vide/trop long, scope hors catalogue, expiry invalide.
+	* @throws ApiKeyError 403 — scope réservé à des rôles que le porteur n'a pas.
 	* @throws ApiKeyError 409 — plafond `maxPerSubject` atteint.
-	* @throws ApiKeyError 503 — store indisponible.
+	* @throws ApiKeyError 403 — aucun compte sous cet identifiant (la clé est liée
+	*   à l'`id` immuable du compte, lu dans l'annuaire).
+	* @throws ApiKeyError 503 — store ou annuaire `users` indisponible.
 	*/
-	async createForSubject(subjectId, subjectType, opts) {
+	async createForSubject(subjectId, subjectType, opts, roles = []) {
 		const store = this.#resolveStore();
 		const name = this.#normalizeName(opts.name);
 		const scopes = this.#normalizeScopes(opts.scopes);
+		const refusals = refusedScopes(scopes, roles, this.#scopeGrants ?? new ScopeGrantPolicy(), this.container?.get("roleHierarchy") ?? null);
+		if (refusals.length > 0) throw new ApiKeyError(`scope not grantable to this account: ${refusals.map((r) => r.scope).join(", ")}`, 403);
 		const now = Date.now();
 		const expiresAt = this.#resolveExpiry(opts.expiresInDays, now);
 		if ((await store.findBySubject(subjectId)).filter((r) => r.kind === "pat" && this.#isActive(r, now)).length >= this.#maxPerSubject) throw new ApiKeyError(`API key limit reached (${this.#maxPerSubject})`, 409);
+		const holder = await this.#resolveHolder(subjectId);
 		const generated = generateApiKey(this.#prefix);
 		const record = {
 			id: randomUUID(),
@@ -119,7 +138,10 @@ var ApiKeyService = class extends Service {
 			lastUsedUserAgent: null,
 			revokedAt: null,
 			revokedReason: null,
-			metadata: {}
+			metadata: {
+				[ACCOUNT_ID_KEY]: holder.id,
+				[CREDENTIALS_VERSION_KEY]: credentialsVersionOf(holder)
+			}
 		};
 		await store.put(record);
 		this.log(`api key created — id=${record.id} subject=${subjectId} scopes=[${scopes.join(",")}]`, "INFO");
@@ -253,6 +275,25 @@ var ApiKeyService = class extends Service {
 		});
 		return true;
 	}
+	/**
+	* Le compte qui reçoit la clé — son identifiant IMMUABLE et sa version
+	* d'identifiants sont la liaison qu'elle portera, contrôlée à chaque
+	* présentation (`isBoundToAccount`). Lu dans
+	* l'annuaire, jamais reçu de l'appelant : la clé appartient au compte qui
+	* existe MAINTENANT sous cet identifiant.
+	*
+	* @throws ApiKeyError 503 — annuaire `users` absent (câblage).
+	* @throws ApiKeyError 403 — aucun compte sous cet identifiant.
+	*/
+	async #resolveHolder(subjectId) {
+		const users = this.get("users");
+		if (!users) throw new ApiKeyError("user directory unavailable", 503);
+		try {
+			return await users.loadUserByIdentifier(subjectId);
+		} catch {
+			throw new ApiKeyError("API key holder unknown", 403);
+		}
+	}
 	#resolveStore() {
 		if (this.#store === null) {
 			const store = this.get("tokenStore");
@@ -306,5 +347,4 @@ var ApiKeyService = class extends Service {
 		};
 	}
 };
-//#endregion
 export { ApiKeyService, ApiKeyService as default };

package/dist/nodefony/service/auditService.js

@@ -1,8 +1,8 @@
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
 import { getAuditStoreFactory, listAuditStores } from "../src/audit/auditStoreRegistry.js";
-import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, runNeedsExternalServices } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, GcScheduler, Service, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, storeConnectivity } from "nodefony";
 import { randomBytes } from "node:crypto";
-//#region nodefony/service/auditService.ts
+// nodefony/service/auditService.ts
 const serviceName = "auditService";
 const GC_INTERVAL_MS = 36e5;
 /**
@@ -50,7 +50,7 @@ var AuditService = class extends Service {
 		let storeName = config.audit.store;
 		let reason = `store explicitement configuré ("${storeName}")`;
 		if (storeName === AUTO_STORE) {
-			const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listAuditStores(), "memory", runNeedsExternalServices(this.kernel));
+			const auto = resolveAutoStore("durable", this.kernel?.infra ?? EMPTY_INFRA, listAuditStores(), "memory", storeConnectivity(this.kernel));
 			storeName = auto.store;
 			reason = auto.reason;
 			this.log(`audit.store "auto" → "${storeName}" (${auto.reason})`, "INFO");
@@ -62,7 +62,7 @@ var AuditService = class extends Service {
 			this.log(`${msg} — audit désactivé (journal de sécurité non collecté)`, "CRITIC");
 			return;
 		}
-		if (storeName === "memory" && this.kernel?.environment === "production") this.log("audit.store \"memory\" en PRODUCTION — journal de sécurité volatil et per-pod : perdu au redémarrage, invisible des autres pods, rétention de conformité impossible. " + durableStoreRemedy(runNeedsExternalServices(this.kernel)), "WARNING");
+		if (storeName === "memory" && this.kernel?.environment === "production") this.log("audit.store \"memory\" en PRODUCTION — journal de sécurité volatil et per-pod : perdu au redémarrage, invisible des autres pods, rétention de conformité impossible. " + durableStoreRemedy(storeConnectivity(this.kernel)), "WARNING");
 		this.#enabled = true;
 		this.#idPrefix = randomBytes(4).toString("hex");
 		this.#store = factory({
@@ -142,5 +142,4 @@ var AuditService = class extends Service {
 		return this.#enabled;
 	}
 };
-//#endregion
 export { AuditService as default };

package/dist/nodefony/service/authFlow.js

@@ -2,13 +2,14 @@ import { securityConfigSchema } from "../config/config.js";
 import { InsecureTransportError } from "../errors/InsecureTransportError.js";
 import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { ThrottledError } from "../errors/ThrottledError.js";
-import { resolveSessionIdentity } from "../src/sessionIdentity.js";
+import { ACCOUNT_ID_KEY, CREDENTIALS_VERSION_KEY, credentialsVersionOf } from "../src/accountBinding.js";
+import { resolveBoundSessionIdentity, resolveSessionIdentity } from "../src/sessionIdentity.js";
 import { recordAudit } from "../src/audit/recordAudit.js";
 import { readAuditContext } from "../src/audit/readAuditContext.js";
 import { amrForFactor } from "../src/sessionAuthentication.js";
 import { LOGIN_PAGE_SKIN_SPECS, MFA_METHOD_TOTP, SESSION_AMR_KEY, SESSION_AUTH_AT_KEY, Service } from "nodefony";
 import { requestUser } from "@nodefony/user";
-//#region nodefony/service/authFlow.ts
+// nodefony/service/authFlow.ts
 const MFA_METHODS = Object.freeze([MFA_METHOD_TOTP]);
 const serviceName = "authFlow";
 const INVALID_CREDENTIALS = "Invalid credentials";
@@ -127,7 +128,7 @@ var AuthFlow = class extends Service {
 				methods: MFA_METHODS
 			};
 		}
-		await this.#openSession(context, user.identifier, "password");
+		await this.#openSession(context, user, "password");
 		recordAudit(this.container, {
 			category: "auth",
 			action: "login.success",
@@ -157,7 +158,7 @@ var AuthFlow = class extends Service {
 	async establishSessionFor(context, identifier, reason = "federated") {
 		if (typeof identifier !== "string" || identifier.length === 0) throw new AuthenticationError(INVALID_CREDENTIALS);
 		const user = await resolveSessionIdentity(this.#resolveUsers(), identifier);
-		await this.#openSession(context, user.identifier, reason);
+		await this.#openSession(context, user, reason);
 		recordAudit(this.container, {
 			category: "auth",
 			action: "login.success",
@@ -292,7 +293,7 @@ var AuthFlow = class extends Service {
 		const current = requestUser(identifier);
 		if (current !== null) return toSafeUser(current);
 		try {
-			return toSafeUser(await resolveSessionIdentity(this.#resolveUsers(), identifier));
+			return toSafeUser(await resolveBoundSessionIdentity(this.#resolveUsers(), identifier, context.session?.getMetaBag(ACCOUNT_ID_KEY), context.session?.getMetaBag(CREDENTIALS_VERSION_KEY)));
 		} catch (error) {
 			if (error instanceof AuthenticationError) return null;
 			throw error;
@@ -350,7 +351,7 @@ var AuthFlow = class extends Service {
 		}
 		return this.#loginPage;
 	}
-	async #openSession(context, identifier, factor) {
+	async #openSession(context, user, factor) {
 		const session = context.session ?? await this.#resolveSessions().start(context);
 		if (session === null) {
 			this.log("login: session service returned no session", "ERROR");
@@ -370,7 +371,9 @@ var AuthFlow = class extends Service {
 		} catch {}
 		session.setMetaBag(SESSION_AUTH_AT_KEY, Date.now());
 		session.setMetaBag(SESSION_AMR_KEY, amrForFactor(factor));
-		await session.save(identifier);
+		session.setMetaBag(ACCOUNT_ID_KEY, user.id);
+		session.setMetaBag(CREDENTIALS_VERSION_KEY, credentialsVersionOf(user));
+		await session.save(user.identifier);
 	}
 	#resolveSessions() {
 		if (this.#sessions === null) {
@@ -428,5 +431,4 @@ function toSafeUser(user) {
 		roles: [...user.roles]
 	};
 }
-//#endregion
 export { AuthFlow, AuthFlow as default };

package/dist/nodefony/service/authorization.js

@@ -2,7 +2,7 @@ import { recordAudit } from "../src/audit/recordAudit.js";
 import "../contracts/IAccessVoter.js";
 import { listVoterFactories } from "../src/voter/voterRegistry.js";
 import { Service, logColor } from "nodefony";
-//#region nodefony/service/authorization.ts
+// nodefony/service/authorization.ts
 const serviceName = "authorization";
 /**
 * Service d'autorisation Nodefony (niveau C, P6 J6) — décide d'un accès via un
@@ -90,5 +90,4 @@ function describeSubject(subject) {
 	if (subject === null || subject === void 0) return String(subject);
 	return subject.constructor?.name ?? typeof subject;
 }
-//#endregion
 export { Authorization, Authorization as default };

package/dist/nodefony/service/cors.js

@@ -1,4 +1,4 @@
-//#region nodefony/service/cors.ts
+// nodefony/service/cors.ts
 /**
 * Politique CORS de Nodefony — Same-Origin Policy assouplie côté serveur
 * (Fetch Standard / W3C CORS protocol). Logique PURE et synchrone : décide les
@@ -77,5 +77,4 @@ var Cors = class {
 		return h;
 	}
 };
-//#endregion
 export { Cors, Cors as default };

package/dist/nodefony/service/csrf.js

@@ -1,5 +1,5 @@
 import { CsrfError } from "../errors/CsrfError.js";
-//#region nodefony/service/csrf.ts
+// nodefony/service/csrf.ts
 /**
 * Méthodes HTTP « sûres » (RFC 9110 §9.2.1) — sans effet de bord par contrat,
 * donc hors du vecteur CSRF. Tout le reste (POST/PUT/PATCH/DELETE…) est traité
@@ -93,5 +93,4 @@ var Csrf = class {
 		}
 	}
 };
-//#endregion
 export { Csrf, Csrf as default };

package/dist/nodefony/service/firewall.js

@@ -5,6 +5,7 @@ import { LoginThrottler } from "../src/throttle/LoginThrottler.js";
 import { InsecureTransportError } from "../errors/InsecureTransportError.js";
 import { CredentialTransportPolicy, shouldEnforceCredentialTransport } from "../src/transport/CredentialTransportPolicy.js";
 import { RoleHierarchyWalker } from "../src/RoleHierarchyWalker.js";
+import { rolesWithin } from "../src/rolesWithin.js";
 import { mergeCspFragments } from "../src/csp.js";
 import { CsrfTokenManager } from "../src/csrfToken.js";
 import { CsrfError } from "../errors/CsrfError.js";
@@ -22,10 +23,10 @@ import { recordAudit } from "../src/audit/recordAudit.js";
 import { readAuditContext } from "../src/audit/readAuditContext.js";
 import { SECURITY_AUDIT_CHANNEL, createAuditBridge } from "../src/audit/auditBridge.js";
 import { findZonesOpenToSignup } from "../src/openToSignup.js";
-import { RequestContext, Service, logColor } from "nodefony";
+import { ROLES_WITHIN, RequestContext, Service, logColor } from "nodefony";
 import { randomBytes } from "node:crypto";
 import { encoderFromConfig } from "@nodefony/user";
-//#region nodefony/service/firewall.ts
+// nodefony/service/firewall.ts
 const serviceName = "firewall";
 /**
 * Réponse partagée de {@link Firewall.publishedProtectedResources} quand il n'y
@@ -108,6 +109,7 @@ var Firewall = class extends Service {
 		}
 		this.#roleHierarchy = new RoleHierarchyWalker(this.#config.roleHierarchy);
 		this.container?.set("roleHierarchy", this.#roleHierarchy);
+		this.container?.set(ROLES_WITHIN, rolesWithin(() => this.container?.get("users") ?? null, this.#roleHierarchy));
 		this.#provisionSharedServices(this.#config);
 		if (this.#config.csrf.enabled) {
 			this.#csrf = new Csrf(this.#config.csrf, [...this.#config.csrf.trustedOrigins, ...this.#config.cors.origins]);
@@ -144,7 +146,7 @@ var Firewall = class extends Service {
 				pattern: area.pattern,
 				host: area.host
 			} : { pattern: area.pattern };
-			realtime.useAuthenticator(matcher, new FirewallRealtimeAuthenticator(() => this.container?.get("tokenStore") ?? null));
+			realtime.useAuthenticator(matcher, new FirewallRealtimeAuthenticator(() => this.container?.get("tokenStore") ?? null, () => this.container?.get("users") ?? null));
 			wired = true;
 		}
 		const configRules = (this.#config?.realtimeChannels ?? []).map((r) => ({
@@ -797,5 +799,4 @@ var Firewall = class extends Service {
 		return super.log(pci, severity, msgid, msg);
 	}
 };
-//#endregion
 export { Firewall, Firewall as default };

package/dist/nodefony/service/keycloak.js

@@ -6,7 +6,7 @@ import { KeycloakAdminClient, keycloakAdminTarget } from "../keycloak/keycloakAd
 import { Service } from "nodefony";
 import path from "node:path";
 import { mkdirSync, readdirSync, writeFileSync } from "node:fs";
-//#region nodefony/service/keycloak.ts
+// nodefony/service/keycloak.ts
 const serviceName = "keycloak";
 /** Où le compose d'une application importe ses realms (chemin natif). */
 const IMPORT_DIR = path.join("docker", "keycloak", "import");
@@ -205,5 +205,4 @@ var KeycloakService = class extends Service {
 		return this.admin(options.provider).applyLoginTheme(options.skin ?? this.config().loginPage.skin);
 	}
 };
-//#endregion
 export { KeycloakService, KeycloakService as default };

package/dist/nodefony/service/oauth2.js

@@ -7,7 +7,7 @@ import { generateCodeVerifier, generateState } from "../src/oauth/oauth2Client.j
 import { getOAuthProviderFactory, listOAuthProviders, oauthProviderRequiresIssuer } from "../src/oauth/oauthProviderRegistry.js";
 import { diagnoseOAuthProvider } from "../src/oauth/providerDiagnosis.js";
 import { BootConfigurationError, LOGIN_PAGE_PATH, Service, canonicalIssuer } from "nodefony";
-//#region nodefony/service/oauth2.ts
+// nodefony/service/oauth2.ts
 const serviceName = "oauth2";
 /**
 * Clé de session de l'indice de déconnexion. Lue et écrite par CE service
@@ -133,6 +133,31 @@ function checkProviderIssuer(name, issuer) {
 	}
 }
 /**
+* Annonce qu'un annuaire accorde des rôles de PLATEFORME, à la sévérité de
+* l'environnement — ou `null` quand il n'y a rien à dire.
+*
+* L'ouverture est ÉCRITE (`allowPlatformRoles`), donc voulue : l'annonce ne
+* la conteste pas, elle la rappelle. Le risque — un annuaire compromis
+* administre l'instance — n'est réel qu'en production : là, `WARNING` ;
+* ailleurs le même fait est dit en `INFO`, sans sonner une alarme à chaque
+* démarrage d'un décor de développement.
+*
+* @param name - nom du fournisseur (`oauth2.providers.<name>`).
+* @param allowed - `allowPlatformRoles` tel que déclaré.
+* @param granted - rôles de l'application que la table accorde.
+* @param production - l'application tourne en production.
+* @returns le message et sa sévérité, ou `null`.
+*/
+function platformRolesNotice(name, allowed, granted, production) {
+	if (allowed !== true) return null;
+	const platform = [...new Set(granted.filter(isPlatformRole))];
+	if (platform.length === 0) return null;
+	return {
+		message: `oauth2 "${name}" : l'annuaire accorde des rôles de PLATEFORME (${platform.join(", ")}) — son administrateur administre cette instance (allowPlatformRoles)`,
+		severity: production ? "WARNING" : "INFO"
+	};
+}
+/**
 * Claims du jeton d'ACCÈS, quand c'est un JWT — `null` sinon (jeton opaque).
 *
 * Keycloak pose les rôles dans le jeton d'accès, et seulement là par défaut
@@ -209,10 +234,8 @@ var OAuth2Service = class extends Service {
 			checkProviderIssuer(name, provider?.issuer);
 			const mapping = provider === void 0 ? null : compileProviderRoleMapping(provider);
 			if (mapping !== null) {
-				if (provider?.allowPlatformRoles === true) {
-					const platform = Object.values(mapping.table).filter(isPlatformRole);
-					if (platform.length > 0) this.log(`oauth2 "${name}" : l'annuaire accorde des rôles de PLATEFORME (${[...new Set(platform)].join(", ")}) — son administrateur administre cette instance (allowPlatformRoles)`, "WARNING");
-				}
+				const notice = platformRolesNotice(name, provider?.allowPlatformRoles, Object.values(mapping.table), this.kernel?.environment === "production");
+				if (notice !== null) this.log(notice.message, notice.severity);
 				this.#roleMappings ??= Object.create(null);
 				this.#roleMappings[name] = mapping;
 			}
@@ -590,5 +613,4 @@ var OAuth2Service = class extends Service {
 		return this.#config;
 	}
 };
-//#endregion
-export { OAuth2Service, OAuth2Service as default, checkProviderIssuer, oauthDisplayLabel };
+export { OAuth2Service, OAuth2Service as default, checkProviderIssuer, oauthDisplayLabel, platformRolesNotice };

package/dist/nodefony/service/securityHeaders.js

@@ -1,5 +1,5 @@
 import { mergeCspFragments } from "../src/csp.js";
-//#region nodefony/service/securityHeaders.ts
+// nodefony/service/securityHeaders.ts
 /** Marqueur substitué par le nonce CSP de la requête (cf `Context.cspNonce`). */
 const NONCE_PLACEHOLDER = "{{nonce}}";
 /**
@@ -87,5 +87,4 @@ var SecurityHeaders = class {
 		return this.#cspParts !== null ? merged.split(NONCE_PLACEHOLDER).join(nonce) : merged.replace(/\s*'nonce-\{\{nonce\}\}'/g, "");
 	}
 };
-//#endregion
 export { SecurityHeaders, SecurityHeaders as default };