@nodefony/security 10.0.0-beta.5 → 10.0.0-beta.6

package/dist/_virtual/{_@oxc-project_runtime@0.155.0 → _@oxc-project_runtime@0.157.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-// \0@oxc-project+runtime@0.155.0/helpers/esm/decorate.js
+// \0@oxc-project+runtime@0.157.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/index.js

@@ -1,94 +1,94 @@
-import { JwtKeystore } from "./nodefony/src/token/JwtKeystore.js";
 import config from "./nodefony/config/config.js";
-import { SecuredArea } from "./nodefony/src/SecuredArea.js";
-import { LoginThrottler } from "./nodefony/src/throttle/LoginThrottler.js";
+import { Firewall } from "./nodefony/service/firewall.js";
+import { AuthFlow } from "./nodefony/service/authFlow.js";
+import { TokenService } from "./nodefony/service/tokenService.js";
 import { InsecureTransportError } from "./nodefony/errors/InsecureTransportError.js";
-import { CredentialTransportPolicy, shouldEnforceCredentialTransport } from "./nodefony/src/transport/CredentialTransportPolicy.js";
-import { RoleHierarchyWalker } from "./nodefony/src/RoleHierarchyWalker.js";
-import { CsrfTokenManager } from "./nodefony/src/csrfToken.js";
+import { AccessTokenVerifierService } from "./nodefony/service/accessTokenVerifier.js";
+import { Authorization } from "./nodefony/service/authorization.js";
+import { WebAuthnService } from "./nodefony/service/webAuthn.js";
 import { CsrfError } from "./nodefony/errors/CsrfError.js";
-import { Csrf } from "./nodefony/service/csrf.js";
-import { Cors } from "./nodefony/service/cors.js";
-import { SecurityHeaders } from "./nodefony/service/securityHeaders.js";
+import { OAuth2Service } from "./nodefony/service/oauth2.js";
+import { ApiKeyService } from "./nodefony/service/apiKeys.js";
+import AuditService from "./nodefony/service/auditService.js";
 import { AuthenticationError } from "./nodefony/errors/AuthenticationError.js";
 import { ThrottledError } from "./nodefony/errors/ThrottledError.js";
 import { UnverifiableTokenError } from "./nodefony/errors/UnverifiableTokenError.js";
+import { TotpService } from "./nodefony/service/totp.js";
+import { WebhookService } from "./nodefony/service/webhooks.js";
+import { KeycloakService } from "./nodefony/service/keycloak.js";
+import SecuritySecrets from "./nodefony/command/security-secrets.js";
+import SecurityUserAdd from "./nodefony/command/security-user-add.js";
+import SecurityUserList from "./nodefony/command/security-user-list.js";
+import SecurityUserDelete from "./nodefony/command/security-user-delete.js";
+import SecurityUserPassword from "./nodefony/command/security-user-password.js";
+import { publicRoutesNotice } from "./nodefony/src/boot/publicRoutesNotice.js";
+import SecurityMcpToken from "./nodefony/command/security-mcp-token.js";
+import SecurityKeycloakRealm from "./nodefony/keycloak/security-keycloak-realm.js";
+import SecurityOAuthDoctor from "./nodefony/command/security-oauth-doctor.js";
+import { createSecurityAdminApi, parseAuditQuery, registerSecurityAdminApi } from "./nodefony/src/admin/SecurityAdminApi.js";
+import { registerUserRevocationCascade, usersEventBusNotice } from "./nodefony/src/admin/userRevocationCascade.js";
 import { defineSecurityConfig, securityConfigJsonSchema } from "./nodefony/config/defineModuleConfig.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.157.0/helpers/esm/decorate.js";
+import { RemoteJwtVerifier } from "./nodefony/src/token/RemoteJwtVerifier.js";
+import { amrForFactor } from "./nodefony/src/sessionAuthentication.js";
+import { ApiKeyError } from "./nodefony/errors/ApiKeyError.js";
+import { InvalidTargetError } from "./nodefony/errors/InvalidTargetError.js";
+import { SecuredArea } from "./nodefony/src/SecuredArea.js";
+import { Csrf } from "./nodefony/service/csrf.js";
+import { CsrfTokenManager } from "./nodefony/src/csrfToken.js";
+import { Cors } from "./nodefony/service/cors.js";
+import { SecurityHeaders } from "./nodefony/service/securityHeaders.js";
+import { RoleHierarchyWalker } from "./nodefony/src/RoleHierarchyWalker.js";
+import { VoterVote } from "./nodefony/contracts/IAccessVoter.js";
 import { AnonymousToken } from "./nodefony/src/token/AnonymousToken.js";
-import { AnonymousAuthenticator } from "./nodefony/src/authenticator/AnonymousAuthenticator.js";
 import { UserToken } from "./nodefony/src/token/UserToken.js";
-import { SessionAuthenticator } from "./nodefony/src/authenticator/SessionAuthenticator.js";
+import { RoleVoter } from "./nodefony/src/voter/RoleVoter.js";
+import { ScopeVoter } from "./nodefony/src/voter/ScopeVoter.js";
+import { listVoterFactories, registerVoterFactory } from "./nodefony/src/voter/voterRegistry.js";
+import { AnonymousAuthenticator } from "./nodefony/src/authenticator/AnonymousAuthenticator.js";
 import { UserPasswordAuthenticator } from "./nodefony/src/authenticator/UserPasswordAuthenticator.js";
-import peekIssuer from "./nodefony/src/authenticator/peekIssuer.js";
+import { SessionAuthenticator } from "./nodefony/src/authenticator/SessionAuthenticator.js";
 import { JwtAuthenticator } from "./nodefony/src/authenticator/JwtAuthenticator.js";
-import { generateApiKey, hashApiKey, looksLikeApiKey, parseApiKey } from "./nodefony/src/apikey/apiKeyFormat.js";
 import { ApiKeyAuthenticator } from "./nodefony/src/authenticator/ApiKeyAuthenticator.js";
 import { ExternalJwtAuthenticator } from "./nodefony/src/authenticator/ExternalJwtAuthenticator.js";
-import { resolveJwtRuntime } from "./nodefony/src/token/jwtRuntime.js";
+import peekIssuer from "./nodefony/src/authenticator/peekIssuer.js";
+import { generateApiKey, hashApiKey, looksLikeApiKey, parseApiKey } from "./nodefony/src/apikey/apiKeyFormat.js";
 import { getAuthenticatorFactory, listAuthenticatorFactories, registerAuthenticatorFactory } from "./nodefony/src/authenticator/authenticatorRegistry.js";
-import { recordAudit } from "./nodefony/src/audit/recordAudit.js";
-import { readAuditContext } from "./nodefony/src/audit/readAuditContext.js";
-import { Firewall } from "./nodefony/service/firewall.js";
-import { amrForFactor } from "./nodefony/src/sessionAuthentication.js";
-import { AuthFlow } from "./nodefony/service/authFlow.js";
-import { InvalidTargetError } from "./nodefony/errors/InvalidTargetError.js";
+import { MemoryTokenStore } from "./nodefony/src/token/MemoryTokenStore.js";
 import { TOKEN_DEFAULT_ORDER, TOKEN_SORTABLE_FIELDS } from "./nodefony/src/token/tokenSort.js";
+import { tokenStatusCriteria } from "./nodefony/src/token/tokenCriteria.js";
 import { matchesTokenStatus, tokenStatusOf } from "./nodefony/src/token/tokenStatus.js";
-import { MemoryTokenStore } from "./nodefony/src/token/MemoryTokenStore.js";
+import { TOKEN_FACETS } from "./nodefony/src/token/tokenFilters.js";
+import { JwtKeystore } from "./nodefony/src/token/JwtKeystore.js";
+import { resolveJwtRuntime } from "./nodefony/src/token/jwtRuntime.js";
 import { getTokenStoreFactory, listTokenStores, registerTokenStore } from "./nodefony/src/token/tokenStoreRegistry.js";
-import { TokenService } from "./nodefony/service/tokenService.js";
-import { RemoteJwtVerifier } from "./nodefony/src/token/RemoteJwtVerifier.js";
-import { AccessTokenVerifierService } from "./nodefony/service/accessTokenVerifier.js";
-import { VoterVote } from "./nodefony/contracts/IAccessVoter.js";
-import { RoleVoter } from "./nodefony/src/voter/RoleVoter.js";
-import { ScopeVoter } from "./nodefony/src/voter/ScopeVoter.js";
-import { listVoterFactories, registerVoterFactory } from "./nodefony/src/voter/voterRegistry.js";
-import { Authorization } from "./nodefony/service/authorization.js";
 import { MemoryWebAuthnCredentialStore } from "./nodefony/src/webauthn/MemoryWebAuthnCredentialStore.js";
 import { getWebAuthnStoreFactory, listWebAuthnStores, registerWebAuthnStore } from "./nodefony/src/webauthn/webAuthnCredentialStoreRegistry.js";
-import { WebAuthnService } from "./nodefony/service/webAuthn.js";
-import { KeycloakAdminClient, KeycloakAdminError, keycloakAdminTarget, keycloakLoginThemeCheck, readKeycloakLoginTheme } from "./nodefony/keycloak/keycloakAdmin.js";
+import { getOAuthProviderFactory, listOAuthProviders, oauthProviderRequiresIssuer, registerOAuthProvider } from "./nodefony/src/oauth/oauthProviderRegistry.js";
 import { OAuth2Client, OAuth2RequestError, OAuth2Tokens, createCodeChallenge, generateCodeVerifier, generateState } from "./nodefony/src/oauth/oauth2Client.js";
 import { discoverAuthorizationServer } from "./nodefony/src/oauth/metadata.js";
+import { requestClientCredentialsToken } from "./nodefony/src/oauth/clientCredentials.js";
+import { diagnoseOAuthProvider } from "./nodefony/src/oauth/providerDiagnosis.js";
+import { KeycloakAdminClient, KeycloakAdminError, keycloakAdminTarget, keycloakLoginThemeCheck, readKeycloakLoginTheme } from "./nodefony/keycloak/keycloakAdmin.js";
 import { createDiscoveredOidcProvider, createOidcProvider, readLogoutTokenClaims } from "./nodefony/src/oauth/providers/oidc.js";
+import { SsrfError } from "./nodefony/errors/SsrfError.js";
 import { createGithubProvider } from "./nodefony/src/oauth/providers/github.js";
-import { getOAuthProviderFactory, listOAuthProviders, oauthProviderRequiresIssuer, registerOAuthProvider } from "./nodefony/src/oauth/oauthProviderRegistry.js";
-import { diagnoseOAuthProvider } from "./nodefony/src/oauth/providerDiagnosis.js";
-import { OAuth2Service } from "./nodefony/service/oauth2.js";
-import { TOKEN_FACETS } from "./nodefony/src/token/tokenFilters.js";
-import { ApiKeyError } from "./nodefony/errors/ApiKeyError.js";
-import { ApiKeyService } from "./nodefony/service/apiKeys.js";
 import { MemoryAuditStore } from "./nodefony/src/audit/MemoryAuditStore.js";
 import { getAuditStoreFactory, listAuditStores, registerAuditStore } from "./nodefony/src/audit/auditStoreRegistry.js";
-import AuditService from "./nodefony/service/auditService.js";
+import { recordAudit } from "./nodefony/src/audit/recordAudit.js";
+import { readAuditContext } from "./nodefony/src/audit/readAuditContext.js";
 import { MemoryTotpSecretStore } from "./nodefony/src/totp/MemoryTotpSecretStore.js";
 import { getTotpStoreFactory, listTotpStores, registerTotpStore } from "./nodefony/src/totp/totpSecretStoreRegistry.js";
-import { decryptSecret, deriveKey, encryptSecret, generateEphemeralKey } from "./nodefony/src/crypto/secretCipher.js";
-import { deriveTotpKey } from "./nodefony/src/totp/totpCipher.js";
-import { base32Decode, totpCode } from "./nodefony/src/totp/totpCrypto.js";
 import { beginTotpEnrollment, confirmTotpEnrollment, disableTotp, totpStatus, verifyTotpLogin } from "./nodefony/src/totp/totpOperations.js";
-import { TotpService } from "./nodefony/service/totp.js";
-import { WEBHOOK_DEFAULT_ORDER, WEBHOOK_SORTABLE_FIELDS } from "./nodefony/src/webhook/webhookSort.js";
+import { base32Decode, totpCode } from "./nodefony/src/totp/totpCrypto.js";
+import { deriveTotpKey } from "./nodefony/src/totp/totpCipher.js";
 import { MemoryWebhookStore } from "./nodefony/src/webhook/MemoryWebhookStore.js";
+import { WEBHOOK_DEFAULT_ORDER, WEBHOOK_SORTABLE_FIELDS } from "./nodefony/src/webhook/webhookSort.js";
 import { getWebhookStoreFactory, listWebhookStores, registerWebhookStore } from "./nodefony/src/webhook/webhookStoreRegistry.js";
-import { SsrfError } from "./nodefony/errors/SsrfError.js";
 import { assertPublicUrl, isBlockedAddress } from "./nodefony/src/net/ssrfGuard.js";
-import { WebhookService } from "./nodefony/service/webhooks.js";
-import { KeycloakService } from "./nodefony/service/keycloak.js";
-import SecuritySecrets from "./nodefony/command/security-secrets.js";
-import SecurityUserAdd from "./nodefony/command/security-user-add.js";
-import SecurityUserList from "./nodefony/command/security-user-list.js";
-import SecurityUserDelete from "./nodefony/command/security-user-delete.js";
-import SecurityUserPassword from "./nodefony/command/security-user-password.js";
-import { publicRoutesNotice } from "./nodefony/src/boot/publicRoutesNotice.js";
-import SecurityMcpToken from "./nodefony/command/security-mcp-token.js";
-import SecurityKeycloakRealm from "./nodefony/keycloak/security-keycloak-realm.js";
-import SecurityOAuthDoctor from "./nodefony/command/security-oauth-doctor.js";
-import { createSecurityAdminApi, parseAuditQuery, registerSecurityAdminApi } from "./nodefony/src/admin/SecurityAdminApi.js";
-import { registerUserRevocationCascade, usersEventBusNotice } from "./nodefony/src/admin/userRevocationCascade.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
-import { tokenStatusCriteria } from "./nodefony/src/token/tokenCriteria.js";
-import { requestClientCredentialsToken } from "./nodefony/src/oauth/clientCredentials.js";
+import { decryptSecret, deriveKey, encryptSecret, generateEphemeralKey } from "./nodefony/src/crypto/secretCipher.js";
+import { LoginThrottler } from "./nodefony/src/throttle/LoginThrottler.js";
+import { CredentialTransportPolicy, shouldEnforceCredentialTransport } from "./nodefony/src/transport/CredentialTransportPolicy.js";
 import { AccessDeniedError } from "./nodefony/errors/AccessDeniedError.js";
 import "./nodefony/errors/index.js";
 import "./nodefony/contracts/index.js";

package/dist/nodefony/config/config.js

@@ -96,20 +96,28 @@ const csrfSchema = z.strictObject({
 	secret: z.string().min(16).optional().describe("Secret HMAC du token synchronizer (`@CsrfProtect`, défense en profondeur opt-in). PROD : fixer via env (≥16 car.) — DOIT être PARTAGÉ entre process (cluster) sinon les tokens d'un pod sont rejetés par un autre. DEV : si absent, un secret éphémère est généré au boot (re-généré à chaque restart → invalide les tokens en cours). Sans valeur, `@CsrfProtect` fonctionne en dev mais N'EST PAS sûr en cluster.")
 }).describe("Cross-Site Request Forgery — Fetch Metadata d'abord (OWASP 2025) ; token synchronizer = opt-in @CsrfProtect.");
 const headersSchema = z.strictObject({
-	enabled: z.boolean().default(true).describe("En-têtes de sécurité HTTP (natif, sans la lib helmet)."),
+	enabled: z.boolean().default(true).describe("Couche APPLICATIVE des en-têtes de sécurité : CSP, Referrer-Policy, COOP/COEP/CORP, Origin-Agent-Cluster, Permissions-Policy. `false` les coupe tous. Le transport (X-Content-Type-Options, X-Frame-Options, HSTS) n'en dépend pas : il se règle dans `http.securityHeaders`. Couper la seule CSP : `csp: \"\"`."),
 	hsts: z.boolean().default(true).meta({
 		reserved: true,
-		description: "INERTE ICI — l'en-tête est posé par @nodefony/http à l'entrée brute (couvre statics, erreurs et serveur nu ; une seule source par en-tête). Pour le régler : `http.securityHeaders.strictTransportSecurity` (`null` pour ne pas émettre l'en-tête)."
+		description: "INERTE ICI — l'en-tête est posé par @nodefony/http sur toute réponse (couvre statics, erreurs et serveur nu ; une seule source par en-tête). Pour le régler : `http.securityHeaders.strictTransportSecurity` (`null` pour ne pas émettre l'en-tête)."
 	}),
 	hstsMaxAgeS: z.number().int().default(31536e3).meta({
 		reserved: true,
 		description: "INERTE ICI — pour régler la durée : `http.securityHeaders.strictTransportSecurity.maxAge`."
 	}),
-	csp: z.string().default("default-src 'self'; script-src 'self' 'nonce-{{nonce}}'; style-src 'self' 'unsafe-inline'; img-src 'self' data: blob: https://www.gravatar.com https://*.googleusercontent.com https://avatars.githubusercontent.com; font-src 'self' data:; connect-src 'self'; worker-src 'self' blob:; object-src 'none'; base-uri 'self'; form-action 'self'").describe("Content-Security-Policy « secure-but-usable ». Seul `script-src` est strict (self + `{{nonce}}` substitué par requête si `cspNonces`) = défense XSS ; le reste couvre les besoins réels (CSS-in-JS, img/font inline, blobs, fetch/WS same-origin, workers) + durcissements (object 'none', base-uri/form-action 'self')."),
+	csp: z.string().default("default-src 'self'; script-src 'nonce-{{nonce}}' 'strict-dynamic' 'self'; style-src 'self' 'unsafe-inline' 'nonce-{{nonce}}'; style-src-attr 'unsafe-inline'; img-src 'self' data: blob:; font-src 'self' data:; connect-src 'self'; worker-src 'self' blob:; object-src 'none'; base-uri 'self'; form-action 'self'; upgrade-insecure-requests").describe("Content-Security-Policy « secure-but-usable ». `script-src` : `{{nonce}}` (substitué par requête si `cspNonces`) et `'strict-dynamic'` — un navigateur CSP3 ignore alors `'self'`, gardé en repli CSP2. `style-src` : le nonce ferme l'exfiltration par `<style>` injecté ; `'unsafe-inline'` n'y joue que là où le nonce est retiré (CSP2+ l'ignore en présence d'un nonce), et `style-src-attr 'unsafe-inline'` tolère les attributs `style=` (ADR-0024 §C2) ; un document servi tel quel (fichier statique) reçoit la politique sans nonce ni `'strict-dynamic'` (ADR-0024 §C1) = défense XSS ; le reste couvre les besoins réels (img/font inline, blobs, fetch/WS same-origin, workers) + durcissements (object 'none', base-uri/form-action 'self'). `upgrade-insecure-requests` n’est posé que sur une page servie en https (proxy de confiance compris) ; le retirer de cette chaîne le coupe partout."),
+	cspSources: z.record(z.string(), z.record(z.string(), z.array(z.string()))).default({}).describe("Sources AJOUTÉES à la politique `csp` sans la réécrire, par contribution nommée : `{ cdn: { \"img-src\": [\"https://cdn.example.com\"] } }`. Indexé par NOM et non par directive : la fusion de configuration remplace un tableau case par case, deux contributions nommées coexistent (une application et un module, par exemple) ; un même nom écrit deux fois est un remplacement. Fusionné par la même règle que les contributions des modules ; une contribution malformée est ignorée et journalisée, une source ouverte à tout hôte est gardée (choix de l'application) et dite. Sans effet quand `csp` vaut `\"\"`."),
 	cspNonces: z.boolean().default(true).describe("Nonce CSP par requête (bloque l'inline non signé)."),
+	cspReport: z.union([z.boolean(), z.string()]).default(true).describe("Rapports de violation CSP (ADR-0024 §C7). `true` : la politique les demande (`report-uri` + `report-to`, en-tête `Reporting-Endpoints`) et l'application les reçoit sur `/nodefony/security/api/csp-report` — corps borné, quota par adresse, URL expurgées, mémoire seule —, lus par `GET /nodefony/security/api/csp-reports` (administrateur). Une chaîne : l'URL de votre propre collecteur (chemin absolu ou https). `false` : aucun rapport. Sans effet quand `csp` vaut `\"\"` ou déclare déjà `report-uri`/`report-to`. Une URL malformée est retirée et journalisée."),
+	/**
+	* @deprecated Inerte : régler `http.securityHeaders.frameOptions`, qui pilote
+	* `X-Frame-Options` ET `frame-ancestors` (ADR-0024 §C5). Retrait à la
+	* prochaine version majeure.
+	*/
 	frameguard: z.enum(["deny", "sameorigin"]).default("deny").meta({
 		reserved: true,
-		description: "INERTE ICI — l'en-tête anti-clickjacking est posé par @nodefony/http (il couvre aussi les statics et les erreurs). Pour le régler : `http.securityHeaders.frameOptions` (`DENY` | `SAMEORIGIN` | `null`)."
+		deprecated: true,
+		description: "DÉPRÉCIÉ, INERTE — remplacé par `http.securityHeaders.frameOptions` (`DENY` | `SAMEORIGIN` | `null`), qui pilote `X-Frame-Options` ET `frame-ancestors` et couvre aussi les statiques et les erreurs. Retrait à la prochaine version majeure."
 	}),
 	noSniff: z.boolean().default(true).meta({
 		reserved: true,
@@ -260,7 +268,7 @@ const trustedIssuerSchema = z.strictObject({
 		"EdDSA"
 	]).describe("Algorithmes de signature acceptés — allowlist SERVEUR (RFC 8725 §3.1) : l'algorithme n'est jamais déduit de l'en-tête du jeton. Restreindre à ce que l'émetteur utilise réellement."),
 	typ: z.string().optional().describe("Valeur exigée de l'en-tête `typ` — « at+jwt » pour un émetteur conforme RFC 9068. Non exigé par défaut : le parc réel est inégal, et la séparation entre jetons est déjà portée par l'audience, qui n'est pas facultative."),
-	requiredClaims: z.array(z.string()).default([]).describe("Claims dont la PRÉSENCE est exigée, en plus de `iss`/`aud` (toujours obligatoires). Ex. `[\"sub\"]` pour refuser un jeton sans sujet identifiable."),
+	requiredClaims: z.array(z.string()).default([]).describe("Claims dont la PRÉSENCE est exigée, en plus de `iss`, `aud`, `exp` et `iat` (toujours obligatoires, RFC 9068 §2.2 ; un `iat` daté du futur est refusé). Ex. `[\"sub\"]` pour refuser un jeton sans sujet identifiable."),
 	subjectMapping: z.enum(["prefixed", "subject"]).default("prefixed").describe("Comment le sujet (`sub`) de CET émetteur devient un identifiant dans l'espace de noms local. « prefixed » (défaut) : l'identifiant cherché est « <issuer>#<sub> » — deux émetteurs ne peuvent pas se disputer un compte, et surtout aucun sujet étranger ne peut tomber par hasard sur un identifiant local existant. « subject » : le `sub` est cherché TEL QUEL, l'ancien comportement — à ne déclarer que si l'on maîtrise l'espace de noms de cet émetteur, typiquement parce qu'il EST cette application (jetons maison) ou parce que ses sujets sont déjà des identifiants locaux. 🔴 Le défaut n'est pas un réglage de confort : un annuaire où l'utilisateur choisit son identifiant permet de présenter `sub: \"admin\"`, et « subject » rattache alors le porteur au compte local du même nom. `sub` n'est unique que dans l'espace de son émetteur (OIDC Core §2) — l'identité est la paire, jamais le sujet seul.")
 });
 const resourceServerSchema = z.strictObject({

package/dist/nodefony/contracts/IWebhookPayload.js

@@ -0,0 +1 @@
+export {};

package/dist/nodefony/errors/index.js

@@ -1,10 +1,10 @@
-import { InsecureTransportError } from "./InsecureTransportError.js";
-import { CsrfError } from "./CsrfError.js";
 import { AuthenticationError } from "./AuthenticationError.js";
+import { AccessDeniedError } from "./AccessDeniedError.js";
 import { ThrottledError } from "./ThrottledError.js";
 import { UnverifiableTokenError } from "./UnverifiableTokenError.js";
 import { InvalidTargetError } from "./InvalidTargetError.js";
-import { WebAuthnError } from "./WebAuthnError.js";
+import { CsrfError } from "./CsrfError.js";
 import { SsrfError } from "./SsrfError.js";
-import { AccessDeniedError } from "./AccessDeniedError.js";
+import { WebAuthnError } from "./WebAuthnError.js";
+import { InsecureTransportError } from "./InsecureTransportError.js";
 export { AccessDeniedError, AuthenticationError, CsrfError, InsecureTransportError, InvalidTargetError, SsrfError, ThrottledError, UnverifiableTokenError, WebAuthnError };

package/dist/nodefony/keycloak/keycloakAdmin.js

@@ -1,4 +1,5 @@
 import { isNodefonyKeycloakTheme, keycloakLoginTheme, realmNameFromIssuer } from "./keycloakRealmInput.js";
+import { ownField } from "nodefony";
 // nodefony/keycloak/keycloakAdmin.ts
 /** Refus ou échec d'un appel ; le message nomme la cause et le geste suivant. */
 var KeycloakAdminError = class extends Error {
@@ -183,9 +184,8 @@ var KeycloakAdminClient = class {
 			throw new KeycloakAdminError(`compte administrateur refusé par Keycloak (HTTP ${response.status}, realm master) — vérifier NF_KEYCLOAK_ADMIN_USERNAME et NF_KEYCLOAK_ADMIN_PASSWORD`, response.status);
 		}
 		const payload = await response.json();
-		const field = (key) => typeof payload === "object" && payload !== null ? Object.getOwnPropertyDescriptor(payload, key)?.value : void 0;
-		const accessToken = field("access_token");
-		const expiresIn = field("expires_in");
+		const accessToken = ownField(payload, "access_token");
+		const expiresIn = ownField(payload, "expires_in");
 		if (typeof accessToken !== "string" || accessToken === "") throw new KeycloakAdminError("Keycloak n'a rendu aucun jeton d'administration");
 		const lifetimeMs = typeof expiresIn === "number" ? expiresIn * 1e3 : 0;
 		this.#token = {

package/dist/nodefony/keycloak/security-keycloak-realm.js

@@ -1,5 +1,5 @@
-import { KeycloakRealmError } from "./keycloakRealmInput.js";
 import { KeycloakAdminError } from "./keycloakAdmin.js";
+import { KeycloakRealmError } from "./keycloakRealmInput.js";
 import { Command } from "nodefony";
 import path from "node:path";
 // nodefony/keycloak/security-keycloak-realm.ts

package/dist/nodefony/service/accessTokenVerifier.js

@@ -1,11 +1,11 @@
-import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
-import { UserToken } from "../src/token/UserToken.js";
-import peekIssuer from "../src/authenticator/peekIssuer.js";
+import { RemoteJwtVerifier } from "../src/token/RemoteJwtVerifier.js";
 import { JwtAuthenticator } from "../src/authenticator/JwtAuthenticator.js";
-import { ExternalSubjectResolver, externalSubjectOptions } from "../src/authenticator/ExternalSubjectResolver.js";
+import peekIssuer from "../src/authenticator/peekIssuer.js";
 import { resolveJwtRuntime } from "../src/token/jwtRuntime.js";
-import { RemoteJwtVerifier } from "../src/token/RemoteJwtVerifier.js";
+import { UserToken } from "../src/token/UserToken.js";
+import { ExternalSubjectResolver, externalSubjectOptions } from "../src/authenticator/ExternalSubjectResolver.js";
+import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { ACCESS_ACCOUNT_RESOLVER, ACCESS_TOKEN_VERIFIER, Service } from "nodefony";
 // nodefony/service/accessTokenVerifier.ts
 const serviceName = ACCESS_TOKEN_VERIFIER;

package/dist/nodefony/service/apiKeys.js

@@ -1,10 +1,10 @@
-import { ScopeGrantPolicy, refusedScopes } from "../src/token/scopeGrants.js";
+import { TOKEN_FACETS } from "../src/token/tokenFilters.js";
 import { defineSecurityConfig } from "../config/defineModuleConfig.js";
-import { ACCOUNT_ID_KEY, CREDENTIALS_VERSION_KEY, credentialsVersionOf } from "../src/accountBinding.js";
+import { ApiKeyError } from "../errors/ApiKeyError.js";
 import { generateApiKey } from "../src/apikey/apiKeyFormat.js";
+import { ScopeGrantPolicy, refusedScopes } from "../src/token/scopeGrants.js";
 import { recordAudit } from "../src/audit/recordAudit.js";
-import { TOKEN_FACETS } from "../src/token/tokenFilters.js";
-import { ApiKeyError } from "../errors/ApiKeyError.js";
+import { ACCOUNT_ID_KEY, CREDENTIALS_VERSION_KEY, credentialsVersionOf } from "../src/accountBinding.js";
 import { Service, countFacets } from "nodefony";
 import { randomUUID } from "node:crypto";
 // nodefony/service/apiKeys.ts
@@ -97,6 +97,9 @@ var ApiKeyService = class extends Service {
 	* @param roles - rôles du porteur tels que son compte les porte ; omis =
 	*   aucun rôle, donc tout scope réservé est refusé (fail-closed).
 	* @throws ApiKeyError 400 — nom vide/trop long, scope hors catalogue, expiry invalide.
+	* @throws ApiKeyError 400 — `tenantId` rempli : le périmètre d'un locataire n'est
+	*   pas encore appliqué (aucun lecteur ne cloisonne sur lui) — l'accepter rendrait
+	*   la clé trompeuse, et l'appliquer un jour lui retirerait des accès (rupture).
 	* @throws ApiKeyError 403 — scope réservé à des rôles que le porteur n'a pas.
 	* @throws ApiKeyError 409 — plafond `maxPerSubject` atteint.
 	* @throws ApiKeyError 403 — aucun compte sous cet identifiant (la clé est liée
@@ -104,6 +107,7 @@ var ApiKeyService = class extends Service {
 	* @throws ApiKeyError 503 — store ou annuaire `users` indisponible.
 	*/
 	async createForSubject(subjectId, subjectType, opts, roles = []) {
+		if (opts.tenantId != null) throw new ApiKeyError("apiKeys: tenantId n'est pas encore pris en charge — le multi-tenant n'existe pas, et une clé rattachée à un locataire verrait tout. Laisser tenantId absent ou null.", 400);
 		const store = this.#resolveStore();
 		const name = this.#normalizeName(opts.name);
 		const scopes = this.#normalizeScopes(opts.scopes);

package/dist/nodefony/service/authFlow.js

@@ -1,12 +1,12 @@
-import { securityConfigSchema } from "../config/config.js";
-import { InsecureTransportError } from "../errors/InsecureTransportError.js";
 import { AuthenticationError } from "../errors/AuthenticationError.js";
 import { ThrottledError } from "../errors/ThrottledError.js";
-import { ACCOUNT_ID_KEY, CREDENTIALS_VERSION_KEY, credentialsVersionOf } from "../src/accountBinding.js";
+import { InsecureTransportError } from "../errors/InsecureTransportError.js";
 import { resolveBoundSessionIdentity, resolveSessionIdentity } from "../src/sessionIdentity.js";
+import { ACCOUNT_ID_KEY, CREDENTIALS_VERSION_KEY, credentialsVersionOf } from "../src/accountBinding.js";
 import { recordAudit } from "../src/audit/recordAudit.js";
 import { readAuditContext } from "../src/audit/readAuditContext.js";
 import { amrForFactor } from "../src/sessionAuthentication.js";
+import { securityConfigSchema } from "../config/config.js";
 import { LOGIN_PAGE_SKIN_SPECS, MFA_METHOD_TOTP, SESSION_AMR_KEY, SESSION_AUTH_AT_KEY, Service } from "nodefony";
 import { requestUser } from "@nodefony/user";
 // nodefony/service/authFlow.ts

package/dist/nodefony/service/authorization.js

@@ -1,6 +1,6 @@
-import { recordAudit } from "../src/audit/recordAudit.js";
 import "../contracts/IAccessVoter.js";
 import { listVoterFactories } from "../src/voter/voterRegistry.js";
+import { recordAudit } from "../src/audit/recordAudit.js";
 import { Service, logColor } from "nodefony";
 // nodefony/service/authorization.ts
 const serviceName = "authorization";