@nodefony/security 10.0.0-beta.3 → 10.0.0-beta.5

package/dist/nodefony/src/apikey/apiKeyFormat.js

@@ -1,5 +1,5 @@
 import { createHash, randomBytes } from "node:crypto";
-//#region nodefony/src/apikey/apiKeyFormat.ts
+// nodefony/src/apikey/apiKeyFormat.ts
 /**
 * Encodage / décodage / hachage des clés API (PAT) — logique **pure** (aucun I/O,
 * aucun container) → testable sans serveur et partagée par l'émetteur
@@ -103,5 +103,4 @@ function parseApiKey(token, prefix) {
 		secretHash: hashApiKey(token)
 	};
 }
-//#endregion
 export { generateApiKey, hashApiKey, looksLikeApiKey, parseApiKey };

package/dist/nodefony/src/audit/MemoryAuditStore.js

@@ -1,5 +1,5 @@
 import { assertPageQuery } from "nodefony";
-//#region nodefony/src/audit/MemoryAuditStore.ts
+// nodefony/src/audit/MemoryAuditStore.ts
 const DEFAULT_MAX_ENTRIES = 1e4;
 const MAX_LIMIT = 500;
 /**
@@ -113,5 +113,4 @@ var MemoryAuditStore = class {
 		for (const event of snapshot.events) this.#events.push(event);
 	}
 };
-//#endregion
 export { MemoryAuditStore };

package/dist/nodefony/src/audit/auditBridge.js

@@ -1,5 +1,5 @@
 import { PLATFORM_CHANNELS } from "nodefony";
-//#region nodefony/src/audit/auditBridge.ts
+// nodefony/src/audit/auditBridge.ts
 /**
 * Canal WS du flux live d'audit (P6.14 lot 4). Le préfixe `security:` le place
 * sous le plancher `SECURITY_CHANNEL_POLICY` (ROLE_NODEFONY_ADMIN) du verrou de
@@ -82,5 +82,4 @@ function createAuditBridge(source, publish, channel, opts = {}) {
 		unsubscribe();
 	};
 }
-//#endregion
 export { SECURITY_AUDIT_CHANNEL, createAuditBridge, createAuditBridge as default };

package/dist/nodefony/src/audit/auditFilters.js

@@ -1,4 +1,4 @@
-//#region nodefony/src/audit/auditFilters.ts
+// nodefony/src/audit/auditFilters.ts
 /**
 * **Le vocabulaire de filtre du journal d'audit**, en noms PUBLICS — ceux qu'un
 * auditeur écrit dans l'URL (`?category=authz&outcome=denied&since=…`).
@@ -56,5 +56,4 @@ const AUDIT_FILTERS = {
 * les deux à jour », qui avait échoué en silence.
 */
 const AUDIT_FILTER_VOCABULARY_IS_COMPLETE = [true, true];
-//#endregion
 export { AUDIT_FILTERS, AUDIT_FILTER_VOCABULARY_IS_COMPLETE };

package/dist/nodefony/src/audit/auditStoreRegistry.js

@@ -1,5 +1,5 @@
 import { MemoryAuditStore } from "./MemoryAuditStore.js";
-//#region nodefony/src/audit/auditStoreRegistry.ts
+// nodefony/src/audit/auditStoreRegistry.ts
 const factories = /* @__PURE__ */ new Map();
 /**
 * Enregistre (ou remplace) la fabrique d'un store d'audit. Appelée par le builtin
@@ -21,5 +21,4 @@ registerAuditStore("memory", (ctx) => {
 	const days = ctx?.config?.audit?.retentionDays;
 	return typeof days === "number" ? new MemoryAuditStore(Date.now, days * MS_PER_DAY) : new MemoryAuditStore();
 });
-//#endregion
 export { getAuditStoreFactory, listAuditStores, registerAuditStore };

package/dist/nodefony/src/audit/readAuditContext.js

@@ -1,4 +1,4 @@
-//#region nodefony/src/audit/readAuditContext.ts
+// nodefony/src/audit/readAuditContext.ts
 /**
 * Extrait IP / User-Agent / requestId + drapeaux de présence (jamais la valeur)
 * d'un contexte de requête — pour enrichir un événement d'audit avec la
@@ -20,5 +20,4 @@ function readAuditContext(context) {
 		}
 	};
 }
-//#endregion
 export { readAuditContext };

package/dist/nodefony/src/audit/recordAudit.js

@@ -1,4 +1,4 @@
-//#region nodefony/src/audit/recordAudit.ts
+// nodefony/src/audit/recordAudit.ts
 /**
 * Émet un événement d'audit **si** le service est présent — no-op sinon. La
 * résolution se fait par le container (`auditService`) sur le **cold-path**
@@ -12,5 +12,4 @@
 function recordAudit(container, event) {
 	(container?.get("auditService"))?.record(event);
 }
-//#endregion
 export { recordAudit };

package/dist/nodefony/src/authenticator/AnonymousAuthenticator.js

@@ -1,5 +1,5 @@
 import { AnonymousToken } from "../token/AnonymousToken.js";
-//#region nodefony/src/authenticator/AnonymousAuthenticator.ts
+// nodefony/src/authenticator/AnonymousAuthenticator.ts
 /**
 * Acceptation EXPLICITE de l'anonymat dans une zone — le seul authenticator
 * autorisé à produire un token non authentifié sans déclencher le Zero Trust.
@@ -32,5 +32,4 @@ var AnonymousAuthenticator = class {
 		return Promise.resolve();
 	}
 };
-//#endregion
 export { AnonymousAuthenticator, AnonymousAuthenticator as default };

package/dist/nodefony/src/authenticator/ApiKeyAuthenticator.js

@@ -1,8 +1,9 @@
 import { AuthenticationError } from "../../errors/AuthenticationError.js";
+import { isBoundToAccount } from "../accountBinding.js";
 import { UserToken } from "../token/UserToken.js";
 import { bearerToken } from "./bearer.js";
 import { looksLikeApiKey, parseApiKey } from "../apikey/apiKeyFormat.js";
-//#region nodefony/src/authenticator/ApiKeyAuthenticator.ts
+// nodefony/src/authenticator/ApiKeyAuthenticator.ts
 const INVALID_TOKEN = "Invalid token";
 /**
 * Marqueur interne posé par `authenticate()` et consommé par `onSuccess()` :
@@ -81,6 +82,7 @@ var ApiKeyAuthenticator = class {
 		const invalidBefore = await store.getInvalidBefore(record.subjectId);
 		if (invalidBefore !== null && record.createdAt < invalidBefore) throw new AuthenticationError(INVALID_TOKEN);
 		const user = await this.#resolveUserOrReject(record.subjectId);
+		if (!isBoundToAccount(user, record.metadata["accountId"], record.metadata["credentialsVersion"])) throw new AuthenticationError(INVALID_TOKEN);
 		const last = record.lastUsedAt;
 		if (this.#throttleMs === 0 || last === null || now - last >= this.#throttleMs) token.setAttribute(MARK_USED_AT, now);
 		const ut = token;
@@ -160,5 +162,4 @@ var ApiKeyAuthenticator = class {
 		return this.#userProvider;
 	}
 };
-//#endregion
 export { ApiKeyAuthenticator, ApiKeyAuthenticator as default };

package/dist/nodefony/src/authenticator/ExternalJwtAuthenticator.js

@@ -1,13 +1,11 @@
-import { mapProviderRoles } from "../oauth/providerRoles.js";
 import { AuthenticationError } from "../../errors/AuthenticationError.js";
 import { UnverifiableTokenError } from "../../errors/UnverifiableTokenError.js";
 import { UserToken } from "../token/UserToken.js";
 import { bearerToken } from "./bearer.js";
 import peekIssuer from "./peekIssuer.js";
-import { localIdentifierFor } from "./externalSubject.js";
-import { ACCESS_TOKEN_VERIFIER, buildBearerChallenge, canonicalIssuer, protectedResourceMetadataUrl } from "nodefony";
-import { BaseUser } from "@nodefony/user";
-//#region nodefony/src/authenticator/ExternalJwtAuthenticator.ts
+import { ExternalSubjectResolver } from "./ExternalSubjectResolver.js";
+import { ACCESS_TOKEN_VERIFIER, buildBearerChallenge, protectedResourceMetadataUrl } from "nodefony";
+// nodefony/src/authenticator/ExternalJwtAuthenticator.ts
 /**
 * Message UNIFORME de refus — la cause fine (expiré, audience, signature, sujet
 * inconnu) part au journal, jamais au client : un refus détaillé est un oracle
@@ -61,31 +59,15 @@ const SUBJECT_AREA = "subjectArea";
 var ExternalJwtAuthenticator = class {
 	name = "external-jwt";
 	#container;
-	#issuers;
-	#policy;
-	#ephemeralRoles;
-	/** Émetteur canonique → fournisseur de connexion ; `null` = aucun lien. */
-	#linkedProviders;
-	/** Fournisseur de connexion → table des rôles ; `null` = aucune table. */
-	#roleMappings;
-	#userProvider = null;
+	/** Rattachement du sujet à un compte local — partagé, jamais recopié. */
+	#subjects;
 	/**
 	* @param container - container DI (résolution lazy du vérificateur et de `users`)
 	* @param options - émetteurs reconnus et politique de rattachement
 	*/
 	constructor(container, options) {
 		this.#container = container;
-		const issuers = /* @__PURE__ */ new Map();
-		for (const binding of options.issuers) try {
-			issuers.set(canonicalIssuer(binding.issuer), binding.subjectMapping);
-		} catch {
-			continue;
-		}
-		this.#issuers = issuers;
-		this.#policy = options.subjectPolicy;
-		this.#ephemeralRoles = options.ephemeralRoles;
-		this.#linkedProviders = linkProviders(issuers, options.oauthProviders);
-		this.#roleMappings = collectRoleMappings(options.oauthProviders);
+		this.#subjects = new ExternalSubjectResolver(container, options);
 	}
 	/**
 	* La requête porte-t-elle un jeton se réclamant d'un émetteur de confiance ?
@@ -101,12 +83,7 @@ var ExternalJwtAuthenticator = class {
 		if (raw === null) return false;
 		const issuer = peekIssuer(raw);
 		if (issuer === null) return false;
-		if (this.#issuers.has(issuer)) return true;
-		try {
-			return this.#issuers.has(canonicalIssuer(issuer));
-		} catch {
-			return false;
-		}
+		return this.#subjects.recognizes(issuer);
 	}
 	/**
 	* Extrait le jeton brut ET l'audience de la zone.
@@ -147,9 +124,7 @@ var ExternalJwtAuthenticator = class {
 		if (principal === null) throw new AuthenticationError(INVALID_TOKEN);
 		const subject = principal.subject;
 		if (!subject) throw new AuthenticationError(INVALID_TOKEN);
-		const mapping = this.#issuers.get(principal.issuer);
-		if (mapping === void 0) throw new UnverifiableTokenError(`émetteur « ${principal.issuer} » vérifié mais absent de la table de rattachement des sujets — configuration incohérente.`);
-		const user = await this.#resolveUser(principal.issuer, subject, mapping, principal.claims, token.getAttribute(SUBJECT_AREA));
+		const user = await this.#subjects.resolve(principal.issuer, subject, principal.claims, token.getAttribute(SUBJECT_AREA));
 		const ut = token;
 		ut.promote(user);
 		ut.setAttribute("scopes", [...principal.scopes]);
@@ -200,85 +175,5 @@ var ExternalJwtAuthenticator = class {
 	validateArea(area) {
 		if (!area.resource) throw new Error(`area "${area.name}": l'authenticator "${this.name}" exige que la zone déclare sa ressource (\`resource\`) — c'est l'audience que le jeton doit porter (RFC 8707 §2). Sans elle, un jeton valide délivré au même porteur pour un AUTRE service serait accepté ici.`);
 	}
-	/**
-	* Établit l'utilisateur applicatif à partir du sujet du jeton.
-	*
-	* Les deux politiques répondent à deux questions différentes : « qui, chez
-	* nous, est cette personne ? » et « quel pouvoir accorde-t-on à une machine
-	* que l'annuaire a authentifiée ? ».
-	*/
-	async #resolveUser(issuer, subject, mapping, claims, area) {
-		const identifier = localIdentifierFor(issuer, subject, mapping);
-		if ((area?.subjectPolicy ?? this.#policy) === "ephemeral") return new BaseUser({
-			id: identifier,
-			identifier,
-			roles: [...area?.ephemeralRoles ?? this.#ephemeralRoles]
-		});
-		const provider = this.#resolveUserProvider();
-		let user = null;
-		const linked = this.#linkedProviders?.get(issuer);
-		if (linked !== void 0) try {
-			const roleMapping = this.#roleMappings?.get(linked);
-			user = roleMapping !== void 0 && canSyncRoles(provider) ? await provider.syncOAuthRoles(linked, subject, mapProviderRoles(roleMapping, claims)) : await provider.loadUserByOAuth(linked, subject);
-		} catch {}
-		if (user === null) try {
-			user = await provider.loadUserByIdentifier(identifier);
-		} catch {
-			throw new AuthenticationError(INVALID_TOKEN);
-		}
-		if (!user.isActive() || user.isLocked()) throw new AuthenticationError(INVALID_TOKEN);
-		return user;
-	}
-	#resolveUserProvider() {
-		if (this.#userProvider === null) {
-			const provider = this.#container.get("users");
-			if (!provider) throw new Error("ExternalJwtAuthenticator: aucun service \"users\" (IUserProvider) dans le container — enregistrer un UserService au boot, ou passer la politique de sujet à \"ephemeral\" si l'appelant est une machine sans compte local.");
-			this.#userProvider = provider;
-		}
-		return this.#userProvider;
-	}
 };
-/** Le fournisseur d'utilisateurs sait-il recalculer les rôles gérés par un annuaire ? */
-function canSyncRoles(provider) {
-	return typeof provider.syncOAuthRoles === "function";
-}
-/** Tables de rôles par fournisseur de connexion — `null` quand aucun n'en déclare. */
-function collectRoleMappings(providers) {
-	if (!providers) return null;
-	let mappings = null;
-	for (const { name, roleMapping } of providers) {
-		if (roleMapping == null) continue;
-		mappings ??= /* @__PURE__ */ new Map();
-		mappings.set(name, roleMapping);
-	}
-	return mappings;
-}
-/**
-* Associe chaque émetteur de confiance au fournisseur de connexion qui partage
-* son émetteur canonique.
-*
-* Un émetteur revendiqué par DEUX fournisseurs n'est lié à aucun : choisir l'un
-* des deux ferait dépendre l'identité de l'ordre de la configuration.
-*
-* @returns la table, ou `null` quand aucun émetteur n'est lié (rien à chercher).
-*/
-function linkProviders(trusted, providers) {
-	if (!providers || providers.length === 0) return null;
-	const links = /* @__PURE__ */ new Map();
-	const ambiguous = /* @__PURE__ */ new Set();
-	for (const { name, issuer } of providers) {
-		let canonical;
-		try {
-			canonical = canonicalIssuer(issuer);
-		} catch {
-			continue;
-		}
-		if (!trusted.has(canonical)) continue;
-		if (links.has(canonical)) ambiguous.add(canonical);
-		links.set(canonical, name);
-	}
-	for (const issuer of ambiguous) links.delete(issuer);
-	return links.size > 0 ? links : null;
-}
-//#endregion
 export { ExternalJwtAuthenticator, ExternalJwtAuthenticator as default };

package/dist/nodefony/src/authenticator/ExternalSubjectResolver.js

@@ -0,0 +1,180 @@
+import { compileProviderRoleMapping, mapProviderRoles } from "../oauth/providerRoles.js";
+import { AuthenticationError } from "../../errors/AuthenticationError.js";
+import { UnverifiableTokenError } from "../../errors/UnverifiableTokenError.js";
+import { localIdentifierFor } from "./externalSubject.js";
+import { canonicalIssuer } from "nodefony";
+import { BaseUser } from "@nodefony/user";
+// nodefony/src/authenticator/ExternalSubjectResolver.ts
+/**
+* Message UNIFORME de refus — la cause fine (sujet inconnu, compte verrouillé)
+* part au journal, jamais au client : un refus détaillé est un oracle.
+*/
+const INVALID_TOKEN = "Invalid token";
+/**
+* Les options de rattachement des sujets externes, lues dans la configuration
+* de sécurité — UNE lecture, pour la zone `external-jwt` comme pour le
+* résolveur de compte d'une ressource protégée.
+*
+* @param config - configuration de sécurité validée
+* @returns émetteurs, politique de sujet, fournisseurs de connexion liables
+*/
+function externalSubjectOptions(config) {
+	const rs = config.resourceServer;
+	return {
+		issuers: rs.issuers.map((i) => ({
+			issuer: i.issuer,
+			subjectMapping: i.subjectMapping
+		})),
+		subjectPolicy: rs.subjectPolicy,
+		ephemeralRoles: rs.ephemeralRoles,
+		oauthProviders: Object.entries(config.oauth2.providers).flatMap(([name, p]) => p.issuer ? [{
+			name,
+			issuer: p.issuer,
+			roleMapping: compileProviderRoleMapping(p)
+		}] : [])
+	};
+}
+/**
+* Établit l'utilisateur applicatif que désigne le sujet d'un jeton TIERS —
+* la décision qui transforme « un annuaire a authentifié ce sujet » en « ce
+* compte agit chez nous ».
+*
+* UNE implémentation, deux consommateurs : la zone `external-jwt` du pare-feu
+* (`ExternalJwtAuthenticator`) et le résolveur de compte d'une ressource
+* protégée (porte MCP). Recopiée, la règle d'espace de noms aurait divergé dès
+* le premier émetteur ajouté — et c'est elle qui empêche un annuaire tiers de
+* réclamer le compte local `admin`.
+*/
+var ExternalSubjectResolver = class {
+	#container;
+	#issuers;
+	#policy;
+	#ephemeralRoles;
+	/** Émetteur canonique → fournisseur de connexion ; `null` = aucun lien. */
+	#linkedProviders;
+	/** Fournisseur de connexion → table des rôles ; `null` = aucune table. */
+	#roleMappings;
+	#userProvider = null;
+	/**
+	* @param container - container DI (résolution lazy de `users`)
+	* @param options - émetteurs reconnus et politique de rattachement
+	*/
+	constructor(container, options) {
+		this.#container = container;
+		const issuers = /* @__PURE__ */ new Map();
+		for (const binding of options.issuers) try {
+			issuers.set(canonicalIssuer(binding.issuer), binding.subjectMapping);
+		} catch {
+			continue;
+		}
+		this.#issuers = issuers;
+		this.#policy = options.subjectPolicy;
+		this.#ephemeralRoles = options.ephemeralRoles;
+		this.#linkedProviders = linkProviders(issuers, options.oauthProviders);
+		this.#roleMappings = collectRoleMappings(options.oauthProviders);
+	}
+	/**
+	* L'émetteur revendiqué est-il l'un des nôtres ? Ne lève JAMAIS : la valeur
+	* vient d'un jeton que n'importe qui peut forger.
+	*
+	* @param issuer - émetteur lu dans le jeton, non vérifié
+	*/
+	recognizes(issuer) {
+		if (this.#issuers.has(issuer)) return true;
+		try {
+			return this.#issuers.has(canonicalIssuer(issuer));
+		} catch {
+			return false;
+		}
+	}
+	/**
+	* Établit l'utilisateur applicatif à partir du sujet d'un jeton VÉRIFIÉ.
+	*
+	* Les deux politiques répondent à deux questions différentes : « qui, chez
+	* nous, est cette personne ? » et « quel pouvoir accorde-t-on à une machine
+	* que l'annuaire a authentifiée ? ».
+	*
+	* @param issuer - émetteur canonique, tel que le vérificateur l'a établi
+	* @param subject - sujet brut (`sub`) chez cet émetteur
+	* @param claims - revendications du jeton (rôles d'annuaire)
+	* @param area - zone qui SURCHARGE la politique, s'il y en a une
+	* @throws AuthenticationError (401) — sujet sans compte local utilisable
+	* @throws UnverifiableTokenError (503) — émetteur vérifié mais absent de la
+	*   table de rattachement : configuration incohérente
+	*/
+	async resolve(issuer, subject, claims, area) {
+		const mapping = this.#issuers.get(issuer);
+		if (mapping === void 0) throw new UnverifiableTokenError(`émetteur « ${issuer} » vérifié mais absent de la table de rattachement des sujets — configuration incohérente.`);
+		const identifier = localIdentifierFor(issuer, subject, mapping);
+		if ((area?.subjectPolicy ?? this.#policy) === "ephemeral") return new BaseUser({
+			id: identifier,
+			identifier,
+			roles: [...area?.ephemeralRoles ?? this.#ephemeralRoles]
+		});
+		const provider = this.#resolveUserProvider();
+		let user = null;
+		const linked = this.#linkedProviders?.get(issuer);
+		if (linked !== void 0) try {
+			const roleMapping = this.#roleMappings?.get(linked);
+			user = roleMapping !== void 0 && canSyncRoles(provider) ? await provider.syncOAuthRoles(linked, subject, mapProviderRoles(roleMapping, claims)) : await provider.loadUserByOAuth(linked, subject);
+		} catch {}
+		if (user === null) try {
+			user = await provider.loadUserByIdentifier(identifier);
+		} catch {
+			throw new AuthenticationError(INVALID_TOKEN);
+		}
+		if (!user.isActive() || user.isLocked()) throw new AuthenticationError(INVALID_TOKEN);
+		return user;
+	}
+	#resolveUserProvider() {
+		if (this.#userProvider === null) {
+			const provider = this.#container.get("users");
+			if (!provider) throw new Error("ExternalJwtAuthenticator: aucun service \"users\" (IUserProvider) dans le container — enregistrer un UserService au boot, ou passer la politique de sujet à \"ephemeral\" si l'appelant est une machine sans compte local.");
+			this.#userProvider = provider;
+		}
+		return this.#userProvider;
+	}
+};
+/** Le fournisseur d'utilisateurs sait-il recalculer les rôles gérés par un annuaire ? */
+function canSyncRoles(provider) {
+	return typeof provider.syncOAuthRoles === "function";
+}
+/** Tables de rôles par fournisseur de connexion — `null` quand aucun n'en déclare. */
+function collectRoleMappings(providers) {
+	if (!providers) return null;
+	let mappings = null;
+	for (const { name, roleMapping } of providers) {
+		if (roleMapping == null) continue;
+		mappings ??= /* @__PURE__ */ new Map();
+		mappings.set(name, roleMapping);
+	}
+	return mappings;
+}
+/**
+* Associe chaque émetteur de confiance au fournisseur de connexion qui partage
+* son émetteur canonique.
+*
+* Un émetteur revendiqué par DEUX fournisseurs n'est lié à aucun : choisir l'un
+* des deux ferait dépendre l'identité de l'ordre de la configuration.
+*
+* @returns la table, ou `null` quand aucun émetteur n'est lié (rien à chercher).
+*/
+function linkProviders(trusted, providers) {
+	if (!providers || providers.length === 0) return null;
+	const links = /* @__PURE__ */ new Map();
+	const ambiguous = /* @__PURE__ */ new Set();
+	for (const { name, issuer } of providers) {
+		let canonical;
+		try {
+			canonical = canonicalIssuer(issuer);
+		} catch {
+			continue;
+		}
+		if (!trusted.has(canonical)) continue;
+		if (links.has(canonical)) ambiguous.add(canonical);
+		links.set(canonical, name);
+	}
+	for (const issuer of ambiguous) links.delete(issuer);
+	return links.size > 0 ? links : null;
+}
+export { ExternalSubjectResolver, externalSubjectOptions };

package/dist/nodefony/src/authenticator/FirewallRealtimeAuthenticator.js

@@ -1,8 +1,9 @@
 import { AuthenticationError } from "../../errors/AuthenticationError.js";
+import { isBoundToAccount } from "../accountBinding.js";
 import { UserRealtimeToken } from "../realtime/UserRealtimeToken.js";
 import { Nodefony, RequestContext } from "nodefony";
 import { authenticatedUser } from "@nodefony/user";
-//#region nodefony/src/authenticator/FirewallRealtimeAuthenticator.ts
+// nodefony/src/authenticator/FirewallRealtimeAuthenticator.ts
 /**
 * Authenticator realtime des identités résolues par le **firewall** — équivalent
 * WS de tout ce que le pipeline HTTP sait authentifier.
@@ -57,12 +58,21 @@ var FirewallRealtimeAuthenticator = class {
 	*/
 	#resolveStore;
 	/**
+	* Accès paresseux à l'annuaire des comptes, pour confirmer avant chaque
+	* `api.request` que le compte de la socket existe toujours sous le même `id`.
+	* Absent (`null`) → aucune confirmation (seul `isValid` fait foi).
+	*/
+	#resolveUsers;
+	/**
 	* @param resolveStore - fournit le store de révocation des jetons (le firewall
 	*   passe une closure sur son container). Omis → mode dégradé documenté :
 	*   seules les bornes portées par le jeton lui-même sont vérifiables.
+	* @param resolveUsers - fournit l'annuaire des comptes (`users`). Omis → pas
+	*   de confirmation du compte avant `api.request`.
 	*/
-	constructor(resolveStore = null) {
+	constructor(resolveStore = null, resolveUsers = null) {
 		this.#resolveStore = resolveStore;
+		this.#resolveUsers = resolveUsers;
 	}
 	/** Une identité authentifiée a-t-elle été résolue (par le firewall) au handshake ? */
 	supports(_handshake) {
@@ -82,7 +92,7 @@ var FirewallRealtimeAuthenticator = class {
 		const type = issuedType(issued);
 		const revalidate = this.#revalidatorFor(user, issued, type);
 		const scopes = issued ? issued.getScopes() : void 0;
-		return new UserRealtimeToken(user, revalidate, type, scopes);
+		return new UserRealtimeToken(user, revalidate, type, scopes, this.#accountConfirmationFor(user, type));
 	}
 	/**
 	* Le revalidateur de l'identité que le firewall a posée sur la requête
@@ -106,6 +116,29 @@ var FirewallRealtimeAuthenticator = class {
 	* Choisit la preuve de révocation selon le mode d'authentification : la
 	* session se relit, un jeton porteur se borne par `exp` et la denylist.
 	*/
+	/**
+	* Confirmation du compte, pour les modes dont l'APPLICATION émet l'artefact
+	* (session, JWT maison, clé d'API) : le compte relu doit exister, être actif
+	* et porter le même `id` immuable qu'au handshake — sinon il a disparu ou un
+	* autre compte a repris son identifiant hors du framework (#139). Un sujet
+	* `external-jwt` peut être éphémère, sans compte local : il n'est pas
+	* confirmé. `null` = rien à confirmer.
+	*/
+	#accountConfirmationFor(user, type) {
+		const resolveUsers = this.#resolveUsers;
+		if (resolveUsers === null || !ACCOUNT_CONFIRMED_TYPES.has(type)) return null;
+		return async () => {
+			const users = resolveUsers();
+			if (users === null) return true;
+			let current;
+			try {
+				current = await users.loadUserByIdentifier(user.identifier);
+			} catch {
+				return false;
+			}
+			return current.isActive() && !current.isLocked() && isBoundToAccount(current, user.id, user.credentialsVersion);
+		};
+	}
 	#revalidatorFor(user, issued, type) {
 		return type === "session" ? buildSessionRevalidator(user.identifier) : this.#buildBearerRevalidator(issued, user.identifier, type);
 	}
@@ -150,6 +183,12 @@ var FirewallRealtimeAuthenticator = class {
 	}
 };
 const EMPTY_CLAIMS = Object.freeze({});
+/** Modes dont l'application émet l'artefact : leur compte est local, donc relisible. */
+const ACCOUNT_CONFIRMED_TYPES = /* @__PURE__ */ new Set([
+	"session",
+	"jwt",
+	"apikey"
+]);
 /** Claim temporel JWT (secondes, RFC 7519) → epoch ms, ou `null` si absent/invalide. */
 function secondsToMs(value) {
 	return typeof value === "number" && Number.isFinite(value) ? value * 1e3 : null;
@@ -193,5 +232,4 @@ function buildSessionRevalidator(identifier) {
 		}
 	};
 }
-//#endregion
 export { FirewallRealtimeAuthenticator, FirewallRealtimeAuthenticator as default };