@nodefony/security 10.0.0-beta.4 → 10.0.0-beta.6

package/docs/login-page.md

@@ -118,8 +118,8 @@ redéfinissent pour les deux thèmes (voir « Pièges », plus bas) :
 
 ### Ce qu'on observe
 
-- `GET /login` rend la page, avec `Cache-Control: no-store` et une CSP
-  `frame-ancestors 'none'` (`LoginPageController.ts#LoginPageController.constructor`) ;
+- `GET /login` rend la page, avec `Cache-Control: no-store` et, par défaut, une CSP
+  `frame-ancestors 'none'` (réglée pour toute l’application par `http.securityHeaders.frameOptions`) ;
 - le titre de la carte vaut « Espace client », le panneau affiche votre accroche à la place de la
   vitrine Nodefony ;
 - votre feuille arrive en second `<link rel="stylesheet">`, après `login.css` : vos variables
@@ -303,7 +303,8 @@ nommant, au lieu d'être ignorée.
 
 ## 🔒 Sécurité
 
-- **Pas de cache partagé** (`no-store`) ni d'affichage dans un cadre (`frame-ancestors 'none'`) ;
+- **Pas de cache partagé** (`no-store`) ; l’affichage dans un cadre suit `http.securityHeaders.frameOptions`,
+  refusé par défaut (`X-Frame-Options: DENY`, `frame-ancestors 'none'`) ;
   le script porte le nonce CSP de la requête.
 - **Mot de passe en clair refusé en production** : sur une requête qui n'arrive pas en HTTPS, la
   connexion répond 403 avant toute vérification, et la page affiche « doit passer par HTTPS » au

package/docs/totp.md

@@ -581,7 +581,7 @@ TOTP et les passkeys (`cascadeUserRevocation`, `userRevocationCascade.ts#cascade
 recréé sous le même identifiant hériterait du second facteur de l'ancien titulaire. Un compte
 seulement désactivé ou verrouillé garde ses facteurs.
 
-Spécification logique de la table (`TOTP_SECRET_TABLE_SPEC`, `totpSecretEntity.ts#TOTP_SECRET_TABLE_SPEC`), déclinée par
+Spécification logique de la table (`TOTP_SECRET_TABLE`, `totpSecretEntity.ts#TOTP_SECRET_TABLE`), déclinée par
 dialecte via le colKit :
 
 | Colonne         | Rôle                                            | SQLite             | PostgreSQL | MySQL / MariaDB |
@@ -600,7 +600,7 @@ dialecte via le colKit :
 Deux pièges de lecture, signalés dans l'entité elle-même :
 
 - `lastUsedStep` est un **numéro de tranche RFC 6238**, pas un horodatage — d'où le type `int`
-  partout, quand les vraies dates sont en `epochMs` (`totpSecretEntity.ts#TotpSecretRow.algorithm`).
+  partout, quand les vraies dates sont en `int64` (`totpSecretEntity.ts#TotpSecretRow.algorithm`).
 - Un epoch en millisecondes **déborde** un `integer` 32 bits → `bigint` en PostgreSQL et MySQL
   (SQLite, lui, a des INTEGER 64 bits).
 

package/docs/webauthn.md

@@ -504,8 +504,8 @@ clé privée n'existe que dans l'authenticator.
 | `backupState`    | BS flag — la passkey **est** sauvegardée             | `bool` notNull      | `Boolean` requis | `"1"`/`"0"`             |
 | `uvInitialized`  | Une vérification humaine a déjà eu lieu              | `bool` notNull      | `Boolean` requis | `"1"`/`"0"`             |
 | `nickname`       | Surnom d'appareil, optionnel                         | `text` nullable     | `String` (null)  | champ absent si vide    |
-| `createdAt`      | Enrôlement (epoch ms)                                | `epochMs` notNull   | `Number` requis  | champ                   |
-| `lastUsedAt`     | Dernière authentification réussie, ou `null`         | `epochMs` nullable  | `Number` (null)  | champ absent si null    |
+| `createdAt`      | Enrôlement (epoch ms)                                | `int64` notNull     | `Number` requis  | champ                   |
+| `lastUsedAt`     | Dernière authentification réussie, ou `null`         | `int64` nullable    | `Number` (null)  | champ absent si null    |
 
 Spécification SQL : `webAuthnCredentialEntity.ts#webAuthnCredentialSchema`, index sur `userId`
 (`drizzle/nodefony/entity/webAuthnCredentialEntity.ts#WebAuthnCredentialRow.userId`). Schéma documentaire :

package/docs/webhooks.md

@@ -89,6 +89,7 @@ part (les autres événements ne sont pas souscrits) :
 ```json
 {
   "id": "msg_7Yb1kQ2pR8sT",
+  "timestamp": "2026-10-29T09:14:03.000Z",
   "type": "login.failure",
   "data": {
     "actor": "alice",
@@ -98,6 +99,13 @@ part (les autres événements ne sont pas souscrits) :
 }
 ```
 
+> [!NOTE]
+> **`timestamp` date la TENTATIVE, pas l'événement** : un réessai deux heures plus tard porte une
+> heure plus tardive. L'heure de l'événement vit dans `data` (`ts` pour l'audit). Et `id` est
+> exactement l'en-tête `webhook-id`, stable d'un réessai à l'autre : c'est la clé de déduplication.
+> Le corps se type par `IWebhookPayload` (exporté par `@nodefony/security`,
+> `IWebhookPayload.ts#IWebhookPayload`).
+
 > [!NOTE]
 > Ce qui peut partir est **ce que le journal d'audit de sécurité enregistre** : connexions, refus
 > d'accès, jetons, sessions, passkeys. Tes propres événements applicatifs — « commande payée »,
@@ -250,6 +258,7 @@ import { createHmac, timingSafeEqual } from "node:crypto";
 import { Buffer } from "node:buffer";
 // prettier-ignore
 import { Controller, controller, Post, Body, Headers, BypassFirewall } from "@nodefony/framework";
+import type { IWebhookPayload } from "@nodefony/security";
 // NF_HOOK_SECRET se déclare dans env.ts (`envString`) : seul lecteur de l'environnement.
 import { env } from "../../env";
 
@@ -276,7 +285,7 @@ class HookMiniController extends Controller {
     if (got.length !== want.length || !timingSafeEqual(got, want)) {
       return this.renderJson({ error: "bad signature" }, 401);
     }
-    this.log(`reçu : ${(JSON.parse(raw) as { type: string }).type}`, "INFO");
+    this.log(`reçu : ${(JSON.parse(raw) as IWebhookPayload).type}`, "INFO");
     return this.renderJson({ ok: true });
   }
 }
@@ -308,6 +317,7 @@ import { createHmac, timingSafeEqual } from "node:crypto";
 import { Buffer } from "node:buffer";
 // prettier-ignore
 import { Controller, controller, Post, Body, Headers, BypassFirewall } from "@nodefony/framework";
+import type { IWebhookPayload } from "@nodefony/security";
 import { env } from "../../env";
 
 /** Secret `whsec_…` donné par l'émetteur — déclaré dans env.ts, jamais en dur. */
@@ -369,7 +379,7 @@ class HookController extends Controller {
 
     // 4. Dédupliquer par `webhook-id` AVANT d'agir (un retry rejoue le MÊME id),
     //    puis répondre 2xx vite : le travail long part en tâche de fond.
-    const event = JSON.parse(raw) as { id: string; type: string };
+    const event = JSON.parse(raw) as IWebhookPayload;
     this.log(`webhook ${event.id} — ${event.type}`, "INFO");
     return this.renderJson({ ok: true });
   }
@@ -431,20 +441,47 @@ Les catégories d'audit disponibles (`AuditCategory`, `IAuditEvent.ts#AuditCateg
 | `webhook`  | Vie des webhooks eux-mêmes (`webhook.created`, `webhook.disabled`)         |
 | `config`   | Mutation de config runtime depuis Studio                                   |
 
+> [!IMPORTANT]
+> **Les noms de l'audit sont RÉSERVÉS.** Une émission applicative d'événements, quand elle viendra,
+> refusera tout type qui appartient à l'audit (`login.*`, `token.*` et les autres familles
+> ci-dessus) : sans cette réserve, un code applicatif pourrait fabriquer un `login.success` signé
+> par le serveur, qu'un centre de sécurité abonné ne distinguerait pas d'un vrai
+> ([ADR-0023](../../../../../docs/adr/0023-webhooks-evenements-et-abonnements.md), W3). Ne nommez
+> pas vos futurs événements comme ceux de l'audit.
+
 > [!NOTE]
 > Trois catégories sont **réservées** au contrat sans émetteur à ce jour : `oauth`, `csrf`, `cors`
 > (`IAuditEvent.ts#AuditCategory`). S'y abonner est accepté, mais ne livre jamais rien.
 
 ### La syntaxe d'abonnement
 
-Le champ `events` d'un endpoint accepte trois formes, résolues par `matchesSubscription()`
-(`WebhookDispatcher.ts#matchesSubscription`) :
+Le champ `events` d'un endpoint prend des **motifs**, dans la même grammaire que les canaux de la
+socket : `*` vaut n'importe quelle suite de caractères, tout le reste est littéral, trois `*` au
+plus. Un motif plus large est **refusé** à l'enregistrement, avec une erreur qui le nomme. La règle
+vit une seule fois, au cœur (`channelPattern.ts#compileChannelPattern`), et
+`matchesSubscription()` (`WebhookDispatcher.ts#matchesSubscription`) l'appelle :
 
-| Motif             | Matche                                                | Usage typique                   |
-| ----------------- | ----------------------------------------------------- | ------------------------------- |
-| `"*"`             | **toutes** les actions                                | un SIEM qui veut tout           |
-| `"login.success"` | l'action exacte, et elle seule                        | une alerte ciblée               |
-| `"login.*"`       | toute action **préfixée** `login.` (`login.failure`…) | suivre une famille d'événements |
+| Motif             | Désigne                                               | Usage typique                     |
+| ----------------- | ----------------------------------------------------- | --------------------------------- |
+| `"*"`             | **toutes** les actions                                | un SIEM qui veut tout             |
+| `"login.success"` | l'action exacte, et elle seule                        | une alerte ciblée                 |
+| `"login.*"`       | toute action **préfixée** `login.` (`login.failure`…) | suivre une famille d'événements   |
+| `"commande:*"`    | `commande:42`, `commande:créée`…                      | un espace de noms applicatif      |
+| `"*:créée"`       | toute action qui finit par `:créée`                   | un même geste sur tous les objets |
+
+> [!IMPORTANT]
+> **`"*"` veut dire tout, y compris ce qui viendra.** Aujourd'hui, seuls les événements d'audit
+> sont livrés ; le jour où une application pourra émettre les siens, un abonnement `"*"` les
+> recevra aussi. Qui ne veut que la sécurité liste ses familles (`login.*`, `token.*`…). Cette
+> grammaire ne changera pas de sens dans la série 10
+> ([ADR-0023](../../../../../docs/adr/0023-webhooks-evenements-et-abonnements.md), W2).
+>
+> **Le périmètre.** Le périmètre d'un événement est le locataire — l'organisation cliente — auquel
+> il est rattaché. Un abonnement sans périmètre — le cas de tous aujourd'hui — a le périmètre de
+> la **plateforme** : il reçoit tout, y compris les événements qu'une version ultérieure rattachera
+> à un locataire (ADR-0023, W2). Le multi-tenant n'existant pas encore, `WebhookService.register`
+> **refuse** un `tenantId` rempli (`webhooks.ts#WebhookService.register`) : l'accepter le ferait
+> passer pour un cloisonnement qu'il n'est pas.
 
 > [!CAUTION]
 > Les événements de catégorie `webhook` **ne déclenchent jamais de livraison**
@@ -747,7 +784,7 @@ partage entre pods. Les colonnes suivent `IWebhookEndpoint` (`IWebhookEndpoint.t
 | `events` | actions souscrites | `text mode:json` · `jsonb` · `json` | `[String]` |
 | `enabled` | actif ? | `integer mode:bool` · `boolean` · `boolean` | `Boolean` |
 | `description` | libellé console | `text` | `String` |
-| `tenantId` | slot multi-tenant (réservé) | `text` | `String` |
+| `tenantId` | périmètre d’un locataire (réservé, toujours `null`) | `text` | `String` |
 | `createdBy` | admin créateur (traçabilité) | `text` | `String` |
 | `createdAt` / `updatedAt` | epoch **ms** | `integer` · `bigint` · `bigint` | `Number` |
 | `lastDeliveryAt` | dernière tentative (epoch ms) | `integer` · `bigint` · `bigint` | `Number` |
@@ -757,7 +794,7 @@ partage entre pods. Les colonnes suivent `IWebhookEndpoint` (`IWebhookEndpoint.t
 | `metadata` | extras applicatifs (jamais de secret) | `text mode:json` · `jsonb` · `json` | `Object` |
 
 Côté SQL, la table est décrite **une seule fois** en spec logique
-(`WEBHOOK_ENDPOINT_TABLE_SPEC`, `drizzle/nodefony/entity/webhookEndpointEntity.ts#WEBHOOK_ENDPOINT_TABLE_SPEC`) puis déclinée
+(`WEBHOOK_ENDPOINT_TABLE`, `drizzle/nodefony/entity/webhookEndpointEntity.ts#WEBHOOK_ENDPOINT_TABLE`) puis déclinée
 par dialecte via le `colKit`. Côté documentaire, le schéma force `_id: String` — l'identifiant
 `wh_…` **est** la clé primaire, pas un `ObjectId` généré
 (`webhookEndpointSchema`, `mongoose/nodefony/entity/webhookEndpointEntity.ts#webhookEndpointSchema`).
@@ -893,6 +930,15 @@ runtime, zéro cycle. Pour valider ton implémentation, importe le banc de contr
 (`tests/support/webhookPaginationContract.ts`) et branche-le sur ton store : les invariants d'ordre,
 de filtres et de bornes sont alors prouvés, pas supposés.
 
+**Ta fabrique lève quand son backend n'est pas joignable — jamais un registre qui se tait.** Un
+`IWebhookStore` qui, faute de connexion, rend une liste d'abonnements vide ne lève rien et ne
+livre plus rien : les abonnés cessent d'être notifiés, sans une ligne au journal, pendant que la
+configuration affiche ton backend. Le registre livré pour SQL fait l'inverse : sa fabrique passe
+par `resolveConnectedOrm()` (`drizzle/nodefony/registerStores.ts#resolveConnectedOrm`), qui lève
+en nommant la cause — module absent, ordre de démarrage, dialecte — si la connexion n'existe pas.
+Fais de même : vérifie la connexion dans la fabrique, et laisse remonter l'erreur. Ne la rattrape
+pas dans chaque méthode par un `if (!connected) return []`.
+
 ## 📜 Normes appliquées
 
 | Domaine                 | Norme / référence                     | Ancrage                                                                            |

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nodefony/security",
-  "version": "10.0.0-beta.4",
+  "version": "10.0.0-beta.6",
   "description": "Pare-feu applicatif par zones pour Nodefony : authentification, autorisation par rôles, protection CSRF, journal d'audit",
   "author": "Christophe CAMENSULI <ccamensuli@gmail.com>",
   "main": "./dist/index.js",
@@ -16,6 +16,12 @@
       "types": "./dist/types/index.d.ts",
       "import": "./dist/index.js",
       "default": "./dist/index.js"
+    },
+    "./testing": {
+      "nodefony-source": "./nodefony/testing/index.ts",
+      "types": "./dist/types/nodefony/testing/index.d.ts",
+      "import": "./dist/nodefony/testing/index.js",
+      "default": "./dist/nodefony/testing/index.js"
     }
   },
   "scripts": {
@@ -50,27 +56,27 @@
   },
   "dependencies": {
     "@simplewebauthn/server": "14.0.3",
-    "jose": "6.2.13",
-    "tslib": "2.8.1",
+    "jose": "6.2.15",
+    "tslib": "2.9.1",
     "zod": "^4.6.7"
   },
   "devDependencies": {
-    "@nodefony/framework": "^10.0.0-beta.4",
-    "@nodefony/http": "^10.0.0-beta.4",
-    "@nodefony/user": "^10.0.0-beta.4",
-    "@types/node": "26.6.5",
-    "@vitest/coverage-v8": "5.0.5",
-    "nodefony": "^10.0.0-beta.4",
-    "vitest": "5.0.5"
+    "@nodefony/framework": "^10.0.0-beta.6",
+    "@nodefony/http": "^10.0.0-beta.6",
+    "@nodefony/user": "^10.0.0-beta.6",
+    "@types/node": "26.6.6",
+    "@vitest/coverage-v8": "5.1.0",
+    "nodefony": "^10.0.0-beta.6",
+    "vitest": "5.1.0"
   },
   "license": "Apache-2.0",
   "readmeFilename": "README.md",
   "contributors": [],
   "peerDependencies": {
-    "@nodefony/framework": "^10.0.0-beta.4",
-    "@nodefony/http": "^10.0.0-beta.4",
-    "@nodefony/user": "^10.0.0-beta.4",
-    "nodefony": "^10.0.0-beta.4"
+    "@nodefony/framework": "^10.0.0-beta.6",
+    "@nodefony/http": "^10.0.0-beta.6",
+    "@nodefony/user": "^10.0.0-beta.6",
+    "nodefony": "^10.0.0-beta.6"
   },
   "files": [
     "dist",