@nodefony/security 10.0.0-beta.5 → 10.0.0-beta.7

package/README.md

@@ -148,6 +148,11 @@ le trafic courant ne passe pas par l'audit (cold-path)
 → aucun coût ajouté au hot-path nominal. Activé par défaut (`audit.enabled`, OWASP A09), coût nul si
 désactivé. Lecture : `GET /nodefony/security/api/audit/events` (RBAC `ROLE_NODEFONY_ADMIN`).
 
+Un **flot de refus** d'une même source (même IP, même motif) ne s'écrit pas ligne à ligne : les
+10 premiers refus par fenêtre de 60 s sont journalisés tels quels, les suivants comptés, puis une ligne
+de synthèse porte le total (`metadata.aggregated`). Les succès ne sont jamais agrégés. Réglage :
+`audit.aggregate` — détail dans [docs/audit.md](docs/audit.md).
+
 **Flux temps réel** (lot 4) : canal WS **`nodefony:audit`**, réservé `ROLE_NODEFONY_ADMIN`
 (plancher système, un cran au-dessus de l'observabilité générique `ROLE_ADMIN`). Enregistré comme
 **canal système** sur le hub realtime (servable par tout endpoint, sans couplage à Studio) ;
@@ -178,6 +183,25 @@ Un **secret n'entre jamais** dans un événement — seule sa _présence_ est tr
 
 - `AuthenticationError` → `401` (non authentifié).
 - `AccessDeniedError` → `403` (authentifié mais non autorisé).
+- `SsrfError` → `422` (adresse sortante interdite, redirection comprise).
+- `FetchPublicError` → `504` (délai total) ou `502` (trop de redirections, réseau).
+
+## Requêtes sortantes sûres
+
+`fetchPublic(url, options)` lit une adresse fournie par un humain sans atteindre le réseau interne : IP vérifiée
+puis épinglée à chaque saut, redirections comptées et revérifiées (`maxRedirects`, 0 par défaut), délai TOTAL
+(`timeoutMs`), corps coupé à `maxBytes` et non décodé, ni cookie ni `Authorization`. Les webhooks passent par elle.
+
+```ts
+import { fetchPublic } from "@nodefony/security";
+
+const page = await fetchPublic(url, {
+  maxRedirects: 3,
+  maxBytes: 262_144,
+  timeoutMs: 4000,
+});
+console.log(page.status, new TextDecoder().decode(page.body));
+```
 
 ## Licence
 

package/dist/_virtual/{_@oxc-project_runtime@0.155.0 → _@oxc-project_runtime@0.158.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-// \0@oxc-project+runtime@0.155.0/helpers/esm/decorate.js
+// \0@oxc-project+runtime@0.158.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/index.js

@@ -1,94 +1,96 @@
-import { JwtKeystore } from "./nodefony/src/token/JwtKeystore.js";
 import config from "./nodefony/config/config.js";
-import { SecuredArea } from "./nodefony/src/SecuredArea.js";
-import { LoginThrottler } from "./nodefony/src/throttle/LoginThrottler.js";
+import { Firewall } from "./nodefony/service/firewall.js";
+import { AuthFlow } from "./nodefony/service/authFlow.js";
+import { TokenService } from "./nodefony/service/tokenService.js";
 import { InsecureTransportError } from "./nodefony/errors/InsecureTransportError.js";
-import { CredentialTransportPolicy, shouldEnforceCredentialTransport } from "./nodefony/src/transport/CredentialTransportPolicy.js";
-import { RoleHierarchyWalker } from "./nodefony/src/RoleHierarchyWalker.js";
-import { CsrfTokenManager } from "./nodefony/src/csrfToken.js";
+import { AccessTokenVerifierService } from "./nodefony/service/accessTokenVerifier.js";
+import { Authorization } from "./nodefony/service/authorization.js";
+import { WebAuthnService } from "./nodefony/service/webAuthn.js";
 import { CsrfError } from "./nodefony/errors/CsrfError.js";
-import { Csrf } from "./nodefony/service/csrf.js";
-import { Cors } from "./nodefony/service/cors.js";
-import { SecurityHeaders } from "./nodefony/service/securityHeaders.js";
+import { OAuth2Service } from "./nodefony/service/oauth2.js";
+import { ApiKeyService } from "./nodefony/service/apiKeys.js";
+import AuditService from "./nodefony/service/auditService.js";
 import { AuthenticationError } from "./nodefony/errors/AuthenticationError.js";
 import { ThrottledError } from "./nodefony/errors/ThrottledError.js";
 import { UnverifiableTokenError } from "./nodefony/errors/UnverifiableTokenError.js";
+import { TotpService } from "./nodefony/service/totp.js";
+import { WebhookService } from "./nodefony/service/webhooks.js";
+import { KeycloakService } from "./nodefony/service/keycloak.js";
+import SecuritySecrets from "./nodefony/command/security-secrets.js";
+import SecurityUserAdd from "./nodefony/command/security-user-add.js";
+import SecurityUserList from "./nodefony/command/security-user-list.js";
+import SecurityUserDelete from "./nodefony/command/security-user-delete.js";
+import SecurityUserPassword from "./nodefony/command/security-user-password.js";
+import { publicRoutesNotice } from "./nodefony/src/boot/publicRoutesNotice.js";
+import SecurityMcpToken from "./nodefony/command/security-mcp-token.js";
+import SecurityKeycloakRealm from "./nodefony/keycloak/security-keycloak-realm.js";
+import SecurityOAuthDoctor from "./nodefony/command/security-oauth-doctor.js";
+import { createSecurityAdminApi, parseAuditQuery, registerSecurityAdminApi } from "./nodefony/src/admin/SecurityAdminApi.js";
+import { registerUserRevocationCascade, usersEventBusNotice } from "./nodefony/src/admin/userRevocationCascade.js";
 import { defineSecurityConfig, securityConfigJsonSchema } from "./nodefony/config/defineModuleConfig.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.158.0/helpers/esm/decorate.js";
+import { RemoteJwtVerifier } from "./nodefony/src/token/RemoteJwtVerifier.js";
+import { amrForFactor } from "./nodefony/src/sessionAuthentication.js";
+import { ApiKeyError } from "./nodefony/errors/ApiKeyError.js";
+import { InvalidTargetError } from "./nodefony/errors/InvalidTargetError.js";
+import { SecuredArea } from "./nodefony/src/SecuredArea.js";
+import { Csrf } from "./nodefony/service/csrf.js";
+import { CsrfTokenManager } from "./nodefony/src/csrfToken.js";
+import { Cors } from "./nodefony/service/cors.js";
+import { SecurityHeaders } from "./nodefony/service/securityHeaders.js";
+import { RoleHierarchyWalker } from "./nodefony/src/RoleHierarchyWalker.js";
+import { VoterVote } from "./nodefony/contracts/IAccessVoter.js";
 import { AnonymousToken } from "./nodefony/src/token/AnonymousToken.js";
-import { AnonymousAuthenticator } from "./nodefony/src/authenticator/AnonymousAuthenticator.js";
 import { UserToken } from "./nodefony/src/token/UserToken.js";
-import { SessionAuthenticator } from "./nodefony/src/authenticator/SessionAuthenticator.js";
+import { RoleVoter } from "./nodefony/src/voter/RoleVoter.js";
+import { ScopeVoter } from "./nodefony/src/voter/ScopeVoter.js";
+import { listVoterFactories, registerVoterFactory } from "./nodefony/src/voter/voterRegistry.js";
+import { AnonymousAuthenticator } from "./nodefony/src/authenticator/AnonymousAuthenticator.js";
 import { UserPasswordAuthenticator } from "./nodefony/src/authenticator/UserPasswordAuthenticator.js";
-import peekIssuer from "./nodefony/src/authenticator/peekIssuer.js";
+import { SessionAuthenticator } from "./nodefony/src/authenticator/SessionAuthenticator.js";
 import { JwtAuthenticator } from "./nodefony/src/authenticator/JwtAuthenticator.js";
-import { generateApiKey, hashApiKey, looksLikeApiKey, parseApiKey } from "./nodefony/src/apikey/apiKeyFormat.js";
 import { ApiKeyAuthenticator } from "./nodefony/src/authenticator/ApiKeyAuthenticator.js";
 import { ExternalJwtAuthenticator } from "./nodefony/src/authenticator/ExternalJwtAuthenticator.js";
-import { resolveJwtRuntime } from "./nodefony/src/token/jwtRuntime.js";
+import peekIssuer from "./nodefony/src/authenticator/peekIssuer.js";
+import { generateApiKey, hashApiKey, looksLikeApiKey, parseApiKey } from "./nodefony/src/apikey/apiKeyFormat.js";
 import { getAuthenticatorFactory, listAuthenticatorFactories, registerAuthenticatorFactory } from "./nodefony/src/authenticator/authenticatorRegistry.js";
-import { recordAudit } from "./nodefony/src/audit/recordAudit.js";
-import { readAuditContext } from "./nodefony/src/audit/readAuditContext.js";
-import { Firewall } from "./nodefony/service/firewall.js";
-import { amrForFactor } from "./nodefony/src/sessionAuthentication.js";
-import { AuthFlow } from "./nodefony/service/authFlow.js";
-import { InvalidTargetError } from "./nodefony/errors/InvalidTargetError.js";
+import { MemoryTokenStore } from "./nodefony/src/token/MemoryTokenStore.js";
 import { TOKEN_DEFAULT_ORDER, TOKEN_SORTABLE_FIELDS } from "./nodefony/src/token/tokenSort.js";
+import { tokenStatusCriteria } from "./nodefony/src/token/tokenCriteria.js";
 import { matchesTokenStatus, tokenStatusOf } from "./nodefony/src/token/tokenStatus.js";
-import { MemoryTokenStore } from "./nodefony/src/token/MemoryTokenStore.js";
+import { TOKEN_FACETS } from "./nodefony/src/token/tokenFilters.js";
+import { JwtKeystore } from "./nodefony/src/token/JwtKeystore.js";
+import { resolveJwtRuntime } from "./nodefony/src/token/jwtRuntime.js";
 import { getTokenStoreFactory, listTokenStores, registerTokenStore } from "./nodefony/src/token/tokenStoreRegistry.js";
-import { TokenService } from "./nodefony/service/tokenService.js";
-import { RemoteJwtVerifier } from "./nodefony/src/token/RemoteJwtVerifier.js";
-import { AccessTokenVerifierService } from "./nodefony/service/accessTokenVerifier.js";
-import { VoterVote } from "./nodefony/contracts/IAccessVoter.js";
-import { RoleVoter } from "./nodefony/src/voter/RoleVoter.js";
-import { ScopeVoter } from "./nodefony/src/voter/ScopeVoter.js";
-import { listVoterFactories, registerVoterFactory } from "./nodefony/src/voter/voterRegistry.js";
-import { Authorization } from "./nodefony/service/authorization.js";
 import { MemoryWebAuthnCredentialStore } from "./nodefony/src/webauthn/MemoryWebAuthnCredentialStore.js";
 import { getWebAuthnStoreFactory, listWebAuthnStores, registerWebAuthnStore } from "./nodefony/src/webauthn/webAuthnCredentialStoreRegistry.js";
-import { WebAuthnService } from "./nodefony/service/webAuthn.js";
-import { KeycloakAdminClient, KeycloakAdminError, keycloakAdminTarget, keycloakLoginThemeCheck, readKeycloakLoginTheme } from "./nodefony/keycloak/keycloakAdmin.js";
+import { getOAuthProviderFactory, listOAuthProviders, oauthProviderRequiresIssuer, registerOAuthProvider } from "./nodefony/src/oauth/oauthProviderRegistry.js";
 import { OAuth2Client, OAuth2RequestError, OAuth2Tokens, createCodeChallenge, generateCodeVerifier, generateState } from "./nodefony/src/oauth/oauth2Client.js";
 import { discoverAuthorizationServer } from "./nodefony/src/oauth/metadata.js";
+import { requestClientCredentialsToken } from "./nodefony/src/oauth/clientCredentials.js";
+import { diagnoseOAuthProvider } from "./nodefony/src/oauth/providerDiagnosis.js";
+import { KeycloakAdminClient, KeycloakAdminError, keycloakAdminTarget, keycloakLoginThemeCheck, readKeycloakLoginTheme } from "./nodefony/keycloak/keycloakAdmin.js";
 import { createDiscoveredOidcProvider, createOidcProvider, readLogoutTokenClaims } from "./nodefony/src/oauth/providers/oidc.js";
+import { SsrfError } from "./nodefony/errors/SsrfError.js";
 import { createGithubProvider } from "./nodefony/src/oauth/providers/github.js";
-import { getOAuthProviderFactory, listOAuthProviders, oauthProviderRequiresIssuer, registerOAuthProvider } from "./nodefony/src/oauth/oauthProviderRegistry.js";
-import { diagnoseOAuthProvider } from "./nodefony/src/oauth/providerDiagnosis.js";
-import { OAuth2Service } from "./nodefony/service/oauth2.js";
-import { TOKEN_FACETS } from "./nodefony/src/token/tokenFilters.js";
-import { ApiKeyError } from "./nodefony/errors/ApiKeyError.js";
-import { ApiKeyService } from "./nodefony/service/apiKeys.js";
+import { FetchPublicError } from "./nodefony/errors/FetchPublicError.js";
 import { MemoryAuditStore } from "./nodefony/src/audit/MemoryAuditStore.js";
 import { getAuditStoreFactory, listAuditStores, registerAuditStore } from "./nodefony/src/audit/auditStoreRegistry.js";
-import AuditService from "./nodefony/service/auditService.js";
+import { recordAudit } from "./nodefony/src/audit/recordAudit.js";
+import { readAuditContext } from "./nodefony/src/audit/readAuditContext.js";
 import { MemoryTotpSecretStore } from "./nodefony/src/totp/MemoryTotpSecretStore.js";
 import { getTotpStoreFactory, listTotpStores, registerTotpStore } from "./nodefony/src/totp/totpSecretStoreRegistry.js";
-import { decryptSecret, deriveKey, encryptSecret, generateEphemeralKey } from "./nodefony/src/crypto/secretCipher.js";
-import { deriveTotpKey } from "./nodefony/src/totp/totpCipher.js";
-import { base32Decode, totpCode } from "./nodefony/src/totp/totpCrypto.js";
 import { beginTotpEnrollment, confirmTotpEnrollment, disableTotp, totpStatus, verifyTotpLogin } from "./nodefony/src/totp/totpOperations.js";
-import { TotpService } from "./nodefony/service/totp.js";
-import { WEBHOOK_DEFAULT_ORDER, WEBHOOK_SORTABLE_FIELDS } from "./nodefony/src/webhook/webhookSort.js";
+import { base32Decode, totpCode } from "./nodefony/src/totp/totpCrypto.js";
+import { deriveTotpKey } from "./nodefony/src/totp/totpCipher.js";
 import { MemoryWebhookStore } from "./nodefony/src/webhook/MemoryWebhookStore.js";
+import { WEBHOOK_DEFAULT_ORDER, WEBHOOK_SORTABLE_FIELDS } from "./nodefony/src/webhook/webhookSort.js";
 import { getWebhookStoreFactory, listWebhookStores, registerWebhookStore } from "./nodefony/src/webhook/webhookStoreRegistry.js";
-import { SsrfError } from "./nodefony/errors/SsrfError.js";
 import { assertPublicUrl, isBlockedAddress } from "./nodefony/src/net/ssrfGuard.js";
-import { WebhookService } from "./nodefony/service/webhooks.js";
-import { KeycloakService } from "./nodefony/service/keycloak.js";
-import SecuritySecrets from "./nodefony/command/security-secrets.js";
-import SecurityUserAdd from "./nodefony/command/security-user-add.js";
-import SecurityUserList from "./nodefony/command/security-user-list.js";
-import SecurityUserDelete from "./nodefony/command/security-user-delete.js";
-import SecurityUserPassword from "./nodefony/command/security-user-password.js";
-import { publicRoutesNotice } from "./nodefony/src/boot/publicRoutesNotice.js";
-import SecurityMcpToken from "./nodefony/command/security-mcp-token.js";
-import SecurityKeycloakRealm from "./nodefony/keycloak/security-keycloak-realm.js";
-import SecurityOAuthDoctor from "./nodefony/command/security-oauth-doctor.js";
-import { createSecurityAdminApi, parseAuditQuery, registerSecurityAdminApi } from "./nodefony/src/admin/SecurityAdminApi.js";
-import { registerUserRevocationCascade, usersEventBusNotice } from "./nodefony/src/admin/userRevocationCascade.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.155.0/helpers/esm/decorate.js";
-import { tokenStatusCriteria } from "./nodefony/src/token/tokenCriteria.js";
-import { requestClientCredentialsToken } from "./nodefony/src/oauth/clientCredentials.js";
+import { fetchPublic } from "./nodefony/src/net/fetchPublic.js";
+import { decryptSecret, deriveKey, encryptSecret, generateEphemeralKey } from "./nodefony/src/crypto/secretCipher.js";
+import { LoginThrottler } from "./nodefony/src/throttle/LoginThrottler.js";
+import { CredentialTransportPolicy, shouldEnforceCredentialTransport } from "./nodefony/src/transport/CredentialTransportPolicy.js";
 import { AccessDeniedError } from "./nodefony/errors/AccessDeniedError.js";
 import "./nodefony/errors/index.js";
 import "./nodefony/contracts/index.js";
@@ -186,4 +188,4 @@ Security = __decorate([services([
 	KeycloakService
 ])], Security);
 var security_default = Security;
-export { AccessDeniedError, AccessTokenVerifierService, AnonymousAuthenticator, AnonymousToken, ApiKeyAuthenticator, ApiKeyError, ApiKeyService, AuditService, AuthFlow, AuthenticationError, Authorization, Cors, CredentialTransportPolicy, Csrf, CsrfError, CsrfTokenManager, ExternalJwtAuthenticator, Firewall, InsecureTransportError, InvalidTargetError, JwtAuthenticator, JwtKeystore, KeycloakAdminClient, KeycloakAdminError, KeycloakService, LoginThrottler, MemoryAuditStore, MemoryTokenStore, MemoryTotpSecretStore, MemoryWebAuthnCredentialStore, MemoryWebhookStore, OAuth2Client, OAuth2RequestError, OAuth2Service, OAuth2Tokens, RemoteJwtVerifier, RoleHierarchyWalker, RoleVoter, ScopeVoter, SecuredArea, SecurityHeaders, SessionAuthenticator, SsrfError, TOKEN_DEFAULT_ORDER, TOKEN_FACETS, TOKEN_SORTABLE_FIELDS, ThrottledError, TokenService, TotpService, UnverifiableTokenError, UserPasswordAuthenticator, UserToken, VoterVote, WEBHOOK_DEFAULT_ORDER, WEBHOOK_SORTABLE_FIELDS, WebAuthnService, WebhookService, amrForFactor, assertPublicUrl, base32Decode, beginTotpEnrollment, confirmTotpEnrollment, createCodeChallenge, createDiscoveredOidcProvider, createGithubProvider, createOidcProvider, createSecurityAdminApi, decryptSecret, security_default as default, defineSecurityConfig, deriveKey, deriveTotpKey, diagnoseOAuthProvider, disableTotp, discoverAuthorizationServer, encryptSecret, generateApiKey, generateCodeVerifier, generateEphemeralKey, generateState, getAuditStoreFactory, getAuthenticatorFactory, getOAuthProviderFactory, getTokenStoreFactory, getTotpStoreFactory, getWebAuthnStoreFactory, getWebhookStoreFactory, hashApiKey, isBlockedAddress, keycloakAdminTarget, keycloakLoginThemeCheck, listAuditStores, listAuthenticatorFactories, listOAuthProviders, listTokenStores, listTotpStores, listVoterFactories, listWebAuthnStores, listWebhookStores, looksLikeApiKey, matchesTokenStatus, oauthProviderRequiresIssuer, parseApiKey, parseAuditQuery, peekIssuer, readAuditContext, readKeycloakLoginTheme, readLogoutTokenClaims, recordAudit, registerAuditStore, registerAuthenticatorFactory, registerOAuthProvider, registerSecurityAdminApi, registerTokenStore, registerTotpStore, registerVoterFactory, registerWebAuthnStore, registerWebhookStore, requestClientCredentialsToken, resolveJwtRuntime, securityConfigJsonSchema, shouldEnforceCredentialTransport, tokenStatusCriteria, tokenStatusOf, totpCode, totpStatus, verifyTotpLogin };
+export { AccessDeniedError, AccessTokenVerifierService, AnonymousAuthenticator, AnonymousToken, ApiKeyAuthenticator, ApiKeyError, ApiKeyService, AuditService, AuthFlow, AuthenticationError, Authorization, Cors, CredentialTransportPolicy, Csrf, CsrfError, CsrfTokenManager, ExternalJwtAuthenticator, FetchPublicError, Firewall, InsecureTransportError, InvalidTargetError, JwtAuthenticator, JwtKeystore, KeycloakAdminClient, KeycloakAdminError, KeycloakService, LoginThrottler, MemoryAuditStore, MemoryTokenStore, MemoryTotpSecretStore, MemoryWebAuthnCredentialStore, MemoryWebhookStore, OAuth2Client, OAuth2RequestError, OAuth2Service, OAuth2Tokens, RemoteJwtVerifier, RoleHierarchyWalker, RoleVoter, ScopeVoter, SecuredArea, SecurityHeaders, SessionAuthenticator, SsrfError, TOKEN_DEFAULT_ORDER, TOKEN_FACETS, TOKEN_SORTABLE_FIELDS, ThrottledError, TokenService, TotpService, UnverifiableTokenError, UserPasswordAuthenticator, UserToken, VoterVote, WEBHOOK_DEFAULT_ORDER, WEBHOOK_SORTABLE_FIELDS, WebAuthnService, WebhookService, amrForFactor, assertPublicUrl, base32Decode, beginTotpEnrollment, confirmTotpEnrollment, createCodeChallenge, createDiscoveredOidcProvider, createGithubProvider, createOidcProvider, createSecurityAdminApi, decryptSecret, security_default as default, defineSecurityConfig, deriveKey, deriveTotpKey, diagnoseOAuthProvider, disableTotp, discoverAuthorizationServer, encryptSecret, fetchPublic, generateApiKey, generateCodeVerifier, generateEphemeralKey, generateState, getAuditStoreFactory, getAuthenticatorFactory, getOAuthProviderFactory, getTokenStoreFactory, getTotpStoreFactory, getWebAuthnStoreFactory, getWebhookStoreFactory, hashApiKey, isBlockedAddress, keycloakAdminTarget, keycloakLoginThemeCheck, listAuditStores, listAuthenticatorFactories, listOAuthProviders, listTokenStores, listTotpStores, listVoterFactories, listWebAuthnStores, listWebhookStores, looksLikeApiKey, matchesTokenStatus, oauthProviderRequiresIssuer, parseApiKey, parseAuditQuery, peekIssuer, readAuditContext, readKeycloakLoginTheme, readLogoutTokenClaims, recordAudit, registerAuditStore, registerAuthenticatorFactory, registerOAuthProvider, registerSecurityAdminApi, registerTokenStore, registerTotpStore, registerVoterFactory, registerWebAuthnStore, registerWebhookStore, requestClientCredentialsToken, resolveJwtRuntime, securityConfigJsonSchema, shouldEnforceCredentialTransport, tokenStatusCriteria, tokenStatusOf, totpCode, totpStatus, verifyTotpLogin };

package/dist/nodefony/command/security-mcp-token.js

@@ -1,5 +1,5 @@
 import { messageNonRestreint, modeNonRestreint, readIfPresentSync, writeSecretSync } from "../src/token/secretFile.js";
-import { ADMIN_SCOPE_READ, ADMIN_SCOPE_WRITE, AGENT_TARGETS, CONSOLE_DATA_RUN_PROFILE, Command, MCP_ENDPOINT_PATH, MCP_TOKEN_ENV, agentRoot, agentsPresents, alreadyHasKey, chargePrompts, poseVariable, requestedAgents } from "nodefony";
+import { ADMIN_SCOPE_READ, ADMIN_SCOPE_WRITE, AGENT_TARGETS, CONSOLE_DATA_RUN_PROFILE, Command, MCP_ENDPOINT_PATH, MCP_TOKEN_ENV, agentRoot, agentsPresents, alreadyHasKey, chargePrompts, poseVariable, requestedAgents, stripTrailingSlashes } from "nodefony";
 import path from "node:path";
 import { existsSync } from "node:fs";
 import { spawnSync } from "node:child_process";
@@ -61,6 +61,30 @@ function tokenTtlSeconds(raw, write) {
 	if (raw !== void 0) return ttlSeconds(raw);
 	return write ? AGENT_TTL_MINUTES * 60 : void 0;
 }
+/** Une URI de ressource sous une forme comparable : sans barre finale. */
+function comparableResource(uri) {
+	try {
+		const url = new URL(uri);
+		return `${url.origin}${stripTrailingSlashes(url.pathname)}`;
+	} catch {
+		return stripTrailingSlashes(uri.trim());
+	}
+}
+/**
+* Le jeton vise-t-il une AUTRE porte que celle de l'outillage ?
+*
+* `NF_MCP_TOKEN` et `--write` servent la porte par défaut, et elle seule : un
+* jeton d'une autre audience (RFC 8707) y prendrait sa place, et cette porte le
+* refuserait — ses outils réservés disparaîtraient sans un mot.
+*
+* @param resource - la valeur de `--resource`, ou rien
+* @param defaultResource - la porte par défaut de l'application
+* @returns `true` quand `--resource` désigne une autre porte
+*/
+function targetsOtherGate(resource, defaultResource) {
+	if (resource === void 0) return false;
+	return comparableResource(resource) !== comparableResource(defaultResource);
+}
 /** « 8 h », « 1 h 30 », « 15 min » — la durée telle qu'on la dit. */
 function humanDuration(seconds) {
 	const minutes = Math.round(seconds / 60);
@@ -274,11 +298,20 @@ var SecurityMcpToken = class extends Command {
 			process.exitCode = 1;
 			return this;
 		}
-		const resource = opts.resource ?? this.#defaultResource();
+		const defaultResource = this.#defaultResource();
+		const resource = opts.resource ?? defaultResource;
+		const otherGate = targetsOtherGate(opts.resource, defaultResource);
+		if (otherGate && opts.write === true) {
+			this.log(`--write refusé pour cette porte.
+
+  --write pose ${MCP_TOKEN_ENV}, le jeton de la porte de l'outillage\n  (${defaultResource}). Ce jeton-ci a pour audience ${resource} :\n  il y prendrait sa place, cette porte le refuserait, et ses outils\n  réservés disparaîtraient sans un mot.\n\n  → relance sans --write, puis pose le jeton dans l'en-tête de\n    l'agent qui parle à ${resource}.`, "ERROR");
+			process.exitCode = 1;
+			return this;
+		}
 		const requestedScopes = (opts.scope ?? "").split(/\s+/u).filter(Boolean);
 		const scopes = requestedScopes.length > 0 ? requestedScopes : [ADMIN_SCOPE_READ];
 		let write = opts.write === true;
-		if (!write && !opts.json && process.stdin.isTTY) {
+		if (!write && !opts.json && !otherGate && process.stdin.isTTY) {
 			await this.loadPrompts();
 			write = await this.prompts.confirm({
 				message: `Poser ${MCP_TOKEN_ENV} dans la configuration des agents présents ?`,
@@ -295,7 +328,7 @@ var SecurityMcpToken = class extends Command {
 		try {
 			issued = await tokens.issueTokens(user, scopes, resource, ttlS);
 		} catch (e) {
-			if (e.oauthError === "invalid_target") {
+			if ((typeof e === "object" && e !== null && "oauthError" in e ? e.oauthError : void 0) === "invalid_target") {
 				const env = this.kernel?.environment ?? "?";
 				const enDev = env === "development";
 				this.log(`impossible d'émettre un jeton pour cette porte ici.
@@ -366,9 +399,14 @@ var SecurityMcpToken = class extends Command {
 			w(`${DIM}  Vibe et Codex prennent le NOM de la variable, pas le secret — déclare la porte une fois :${RESET}\n\n  ${DIM}vibe mcp add nodefony --transport streamable-http \\${RESET}\n  ${DIM}  --url ${resource} --api-key-env ${MCP_TOKEN_ENV}${RESET}\n  ${DIM}codex mcp add nodefony --url ${resource} \\${RESET}\n  ${DIM}  --bearer-token-env-var ${MCP_TOKEN_ENV}${RESET}\n\n`);
 			return this;
 		}
+		if (otherGate) {
+			w(`  ${token}\n\n`);
+			w(`${DIM}  Ce jeton ne vaut que pour ${resource} : pose-le dans l'en-tête\n  de l'agent qui parle à cette porte, par exemple :\n    claude mcp add --transport http <nom> ${resource} \\\n      --header "Authorization: Bearer <ce jeton>"\n  Pas dans ${MCP_TOKEN_ENV} : elle porte le jeton de ${defaultResource}.${RESET}\n\n`);
+			return this;
+		}
 		w(`  export ${MCP_TOKEN_ENV}=${token}\n\n`);
 		w(`${DIM}  --write pose la valeur chez les agents présents · nodefony ai:mcp --auth câble .mcp.json${RESET}\n\n`);
 		return this;
 	}
 };
-export { SecurityMcpToken as default, tokenTtlSeconds, ttlSeconds };
+export { SecurityMcpToken as default, targetsOtherGate, tokenTtlSeconds, ttlSeconds };

package/dist/nodefony/config/config.js

@@ -51,7 +51,7 @@ const areaSchema = z.strictObject({
 	roles: z.array(z.string()).default([]).describe("Rôle(s) exigés PAR DÉFAUT dans la zone, en OU (l'un suffit ; hiérarchie comprise). Vide (défaut) = la zone n'exige qu'une identité, et toute route qu'elle couvre est ouverte à n'importe quel compte authentifié — c'est un défaut OUVERT, qu'une surface d'administration ne doit pas garder. Renseigné, le rôle s'applique à toute route de la zone qui ne décide PAS elle-même de son autorisation : une route gardée (`@IsGranted`, `@RequireScope`) et le pont du plan d'administration (qui résout un rôle par point d'entrée) gardent la main — sans quoi une zone fermée à l'administrateur écraserait un point d'entrée voulu accessible à son propriétaire (`me`, `sessions/mine`). Un refus ici est un 403 (authentifié, pas autorisé), jamais un 401."),
 	entryPoint: z.string().refine((value) => safeRedirectPath(value, "") === value, { message: "entryPoint doit être un chemin de CETTE origine (`/login`), jamais une adresse externe" }).optional().describe("Page de connexion vers laquelle conduire un visiteur anonyme qui NAVIGUE (GET ou HEAD, `Accept: text/html`, `Sec-Fetch-Mode: navigate` s'il est présent) : 302 vers `<entryPoint>?from=<chemin demandé>`, et la page de connexion ramène au chemin demandé. Tout le reste — appel d'API, `fetch`, POST, WebSocket — garde son 401 et son `WWW-Authenticate`. Le refus reste journalisé (`auth.denied`). Absent (défaut) : 401 pour tous."),
 	host: z.string().optional().describe("Domaine/vhost de la zone (ex. admin.exemple.com). Omis = tous domaines."),
-	resource: z.string().optional().describe("URI canonique de la ressource protégée — l'AUDIENCE qu'un jeton doit porter pour être accepté ici (RFC 8707 §2). Obligatoire dès que la zone liste un authenticator de jetons TIERS (`external-jwt`), qui refuse de démarrer sans elle. C'est ce qui empêche un jeton valide, délivré au même porteur pour un AUTRE service, d'être rejoué sur celui-ci. Elle s'ÉCRIT et ne se dérive pas du `Host` : derrière un relais, ce que le processus croit être son adresse n'est pas ce que le client a demandé, et l'audience doit être exactement celle que le serveur d'autorisation a inscrite dans le jeton. Ex. « https://api.example.com/mcp »."),
+	resource: z.string().optional().describe("URI canonique de la ressource protégée — l'AUDIENCE qu'un jeton doit porter pour être accepté ici (RFC 8707 §2). Obligatoire dès que la zone liste un authenticator de jetons TIERS (`external-jwt`), qui refuse de démarrer sans elle. C'est ce qui empêche un jeton valide, délivré au même porteur pour un AUTRE service, d'être rejoué sur celui-ci. Elle s'ÉCRIT et ne se dérive pas du `Host` : derrière un relais, ce que le processus croit être son adresse n'est pas ce que le client a demandé, et l'audience doit être exactement celle que le serveur d'autorisation a inscrite dans le jeton. L'application peut aussi ÉMETTRE des jetons pour cette ressource (`resource` à l'émission, RFC 8707) sans la recopier dans `jwt.audiences` : elle y est ajoutée après les audiences déclarées, qui gardent l'audience par défaut. Un CHEMIN (« /api/partner ») est rendu absolu contre `jwt.issuer`, l'adresse publique de l'application — la forme d'un module qui apporte sa zone sans connaître cette adresse ; le démarrage refuse si l'émetteur n'est pas une URL http(s). Ex. « https://api.example.com/mcp »."),
 	realtime: z.boolean().default(true).describe("Zone valable AUSSI pour les frames WebSocket (api.request + subscribe), pas seulement HTTP. Défaut `true` (Zero Trust : une zone protégée ferme TOUS ses transports — un opt-IN laisserait le WS anonyme par omission = fail-open). `false` = opt-out explicite pour une zone strictement HTTP. Le verrou WS consulte la MÊME zone que HTTP — invariant : `api.request {path}` n'accorde jamais plus que `GET {path}`."),
 	subjectPolicy: z.enum(["require", "ephemeral"]).optional().describe("Surcharge, pour CETTE zone, de `resourceServer.subjectPolicy` — comment le sujet d'un jeton TIERS devient un utilisateur. Omis (défaut) = la politique globale. Sert à faire cohabiter une zone d'appelants machine (« ephemeral » : aucun compte local exigé) et une zone de personnes (« require ») dans la même application ; une politique globale ne sait pas l'exprimer. N'a de sens que si la zone liste `external-jwt` : déclarée ailleurs, le boot la refuse."),
 	ephemeralRoles: z.array(z.string().min(1)).optional().describe("Rôles accordés à l'appelant accepté par CETTE zone en mode « ephemeral ». Exige `subjectPolicy: \"ephemeral\"` écrit dans la zone même : un pouvoir local ne s'hérite pas d'un réglage écrit ailleurs. Une zone qui déclare « ephemeral » sans ses rôles n'en accorde AUCUN — jamais ceux de `resourceServer.ephemeralRoles`, qui protègent une autre surface.")
@@ -96,20 +96,28 @@ const csrfSchema = z.strictObject({
 	secret: z.string().min(16).optional().describe("Secret HMAC du token synchronizer (`@CsrfProtect`, défense en profondeur opt-in). PROD : fixer via env (≥16 car.) — DOIT être PARTAGÉ entre process (cluster) sinon les tokens d'un pod sont rejetés par un autre. DEV : si absent, un secret éphémère est généré au boot (re-généré à chaque restart → invalide les tokens en cours). Sans valeur, `@CsrfProtect` fonctionne en dev mais N'EST PAS sûr en cluster.")
 }).describe("Cross-Site Request Forgery — Fetch Metadata d'abord (OWASP 2025) ; token synchronizer = opt-in @CsrfProtect.");
 const headersSchema = z.strictObject({
-	enabled: z.boolean().default(true).describe("En-têtes de sécurité HTTP (natif, sans la lib helmet)."),
+	enabled: z.boolean().default(true).describe("Couche APPLICATIVE des en-têtes de sécurité : CSP, Referrer-Policy, COOP/COEP/CORP, Origin-Agent-Cluster, Permissions-Policy. `false` les coupe tous. Le transport (X-Content-Type-Options, X-Frame-Options, HSTS) n'en dépend pas : il se règle dans `http.securityHeaders`. Couper la seule CSP : `csp: \"\"`."),
 	hsts: z.boolean().default(true).meta({
 		reserved: true,
-		description: "INERTE ICI — l'en-tête est posé par @nodefony/http à l'entrée brute (couvre statics, erreurs et serveur nu ; une seule source par en-tête). Pour le régler : `http.securityHeaders.strictTransportSecurity` (`null` pour ne pas émettre l'en-tête)."
+		description: "INERTE ICI — l'en-tête est posé par @nodefony/http sur toute réponse (couvre statics, erreurs et serveur nu ; une seule source par en-tête). Pour le régler : `http.securityHeaders.strictTransportSecurity` (`null` pour ne pas émettre l'en-tête)."
 	}),
 	hstsMaxAgeS: z.number().int().default(31536e3).meta({
 		reserved: true,
 		description: "INERTE ICI — pour régler la durée : `http.securityHeaders.strictTransportSecurity.maxAge`."
 	}),
-	csp: z.string().default("default-src 'self'; script-src 'self' 'nonce-{{nonce}}'; style-src 'self' 'unsafe-inline'; img-src 'self' data: blob: https://www.gravatar.com https://*.googleusercontent.com https://avatars.githubusercontent.com; font-src 'self' data:; connect-src 'self'; worker-src 'self' blob:; object-src 'none'; base-uri 'self'; form-action 'self'").describe("Content-Security-Policy « secure-but-usable ». Seul `script-src` est strict (self + `{{nonce}}` substitué par requête si `cspNonces`) = défense XSS ; le reste couvre les besoins réels (CSS-in-JS, img/font inline, blobs, fetch/WS same-origin, workers) + durcissements (object 'none', base-uri/form-action 'self')."),
+	csp: z.string().default("default-src 'self'; script-src 'nonce-{{nonce}}' 'strict-dynamic' 'self'; style-src 'self' 'unsafe-inline' 'nonce-{{nonce}}'; style-src-attr 'unsafe-inline'; img-src 'self' data: blob:; font-src 'self' data:; connect-src 'self'; worker-src 'self' blob:; object-src 'none'; base-uri 'self'; form-action 'self'; upgrade-insecure-requests").describe("Content-Security-Policy « secure-but-usable ». `script-src` : `{{nonce}}` (substitué par requête si `cspNonces`) et `'strict-dynamic'` — un navigateur CSP3 ignore alors `'self'`, gardé en repli CSP2. `style-src` : le nonce ferme l'exfiltration par `<style>` injecté ; `'unsafe-inline'` n'y joue que là où le nonce est retiré (CSP2+ l'ignore en présence d'un nonce), et `style-src-attr 'unsafe-inline'` tolère les attributs `style=` (ADR-0024 §C2) ; un document servi tel quel (fichier statique) reçoit la politique sans nonce ni `'strict-dynamic'` (ADR-0024 §C1) = défense XSS ; le reste couvre les besoins réels (img/font inline, blobs, fetch/WS same-origin, workers) + durcissements (object 'none', base-uri/form-action 'self'). `upgrade-insecure-requests` n’est posé que sur une page servie en https (proxy de confiance compris) ; le retirer de cette chaîne le coupe partout."),
+	cspSources: z.record(z.string(), z.record(z.string(), z.array(z.string()))).default({}).describe("Sources AJOUTÉES à la politique `csp` sans la réécrire, par contribution nommée : `{ cdn: { \"img-src\": [\"https://cdn.example.com\"] } }`. Indexé par NOM et non par directive : la fusion de configuration remplace un tableau case par case, deux contributions nommées coexistent (une application et un module, par exemple) ; un même nom écrit deux fois est un remplacement. Fusionné par la même règle que les contributions des modules ; une contribution malformée est ignorée et journalisée, une source ouverte à tout hôte est gardée (choix de l'application) et dite. Sans effet quand `csp` vaut `\"\"`."),
 	cspNonces: z.boolean().default(true).describe("Nonce CSP par requête (bloque l'inline non signé)."),
+	cspReport: z.union([z.boolean(), z.string()]).default(true).describe("Rapports de violation CSP (ADR-0024 §C7). `true` : la politique les demande (`report-uri` + `report-to`, en-tête `Reporting-Endpoints`) et l'application les reçoit sur `/nodefony/security/api/csp-report` — corps borné, quota par adresse, URL expurgées, mémoire seule —, lus par `GET /nodefony/security/api/csp-reports` (administrateur). Une chaîne : l'URL de votre propre collecteur (chemin absolu ou https). `false` : aucun rapport. Sans effet quand `csp` vaut `\"\"` ou déclare déjà `report-uri`/`report-to`. Une URL malformée est retirée et journalisée."),
+	/**
+	* @deprecated Inerte : régler `http.securityHeaders.frameOptions`, qui pilote
+	* `X-Frame-Options` ET `frame-ancestors` (ADR-0024 §C5). Retrait à la
+	* prochaine version majeure.
+	*/
 	frameguard: z.enum(["deny", "sameorigin"]).default("deny").meta({
 		reserved: true,
-		description: "INERTE ICI — l'en-tête anti-clickjacking est posé par @nodefony/http (il couvre aussi les statics et les erreurs). Pour le régler : `http.securityHeaders.frameOptions` (`DENY` | `SAMEORIGIN` | `null`)."
+		deprecated: true,
+		description: "DÉPRÉCIÉ, INERTE — remplacé par `http.securityHeaders.frameOptions` (`DENY` | `SAMEORIGIN` | `null`), qui pilote `X-Frame-Options` ET `frame-ancestors` et couvre aussi les statiques et les erreurs. Retrait à la prochaine version majeure."
 	}),
 	noSniff: z.boolean().default(true).meta({
 		reserved: true,
@@ -183,9 +191,9 @@ const tokenStoreSchema = z.strictObject({
 }).describe("Store de jetons serveur (refresh, PAT, denylist `jti`, seuil de révocation par porteur) + maintenance gc.");
 const passkeysSchema = z.strictObject({
 	enabled: z.boolean().default(true).describe("Active WebAuthn/passkeys (MFA phishing-resistant, NIST AAL2)."),
-	rpId: z.string().optional().describe("Relying Party ID (domaine). Omis = domaine de l'app au boot."),
+	rpId: z.string().optional().describe("Relying Party ID (domaine). Omis = domaine de l'app au boot. Un domaine international s'écrit tel quel : il est converti en punycode (`xn--…`) au démarrage, forme que présente le navigateur."),
 	rpName: z.string().optional().describe("Nom lisible de la Relying Party affiché dans l'invite OS/navigateur. Omis = nom de l'app."),
-	origins: z.array(z.string()).default([]).describe("Origines autorisées aux ceremonies. Vide = origine de l'app."),
+	origins: z.array(z.string()).default([]).describe("Origines autorisées aux cérémonies (`scheme://hôte[:port]`). Vide = origine de l'app. Converties en punycode au démarrage ; une entrée qui n'est pas une origine est écartée et nommée en ERROR."),
 	userVerification: z.enum([
 		"required",
 		"preferred",
@@ -260,7 +268,7 @@ const trustedIssuerSchema = z.strictObject({
 		"EdDSA"
 	]).describe("Algorithmes de signature acceptés — allowlist SERVEUR (RFC 8725 §3.1) : l'algorithme n'est jamais déduit de l'en-tête du jeton. Restreindre à ce que l'émetteur utilise réellement."),
 	typ: z.string().optional().describe("Valeur exigée de l'en-tête `typ` — « at+jwt » pour un émetteur conforme RFC 9068. Non exigé par défaut : le parc réel est inégal, et la séparation entre jetons est déjà portée par l'audience, qui n'est pas facultative."),
-	requiredClaims: z.array(z.string()).default([]).describe("Claims dont la PRÉSENCE est exigée, en plus de `iss`/`aud` (toujours obligatoires). Ex. `[\"sub\"]` pour refuser un jeton sans sujet identifiable."),
+	requiredClaims: z.array(z.string()).default([]).describe("Claims dont la PRÉSENCE est exigée, en plus de `iss`, `aud`, `exp` et `iat` (toujours obligatoires, RFC 9068 §2.2 ; un `iat` daté du futur est refusé). Ex. `[\"sub\"]` pour refuser un jeton sans sujet identifiable."),
 	subjectMapping: z.enum(["prefixed", "subject"]).default("prefixed").describe("Comment le sujet (`sub`) de CET émetteur devient un identifiant dans l'espace de noms local. « prefixed » (défaut) : l'identifiant cherché est « <issuer>#<sub> » — deux émetteurs ne peuvent pas se disputer un compte, et surtout aucun sujet étranger ne peut tomber par hasard sur un identifiant local existant. « subject » : le `sub` est cherché TEL QUEL, l'ancien comportement — à ne déclarer que si l'on maîtrise l'espace de noms de cet émetteur, typiquement parce qu'il EST cette application (jetons maison) ou parce que ses sujets sont déjà des identifiants locaux. 🔴 Le défaut n'est pas un réglage de confort : un annuaire où l'utilisateur choisit son identifiant permet de présenter `sub: \"admin\"`, et « subject » rattache alors le porteur au compte local du même nom. `sub` n'est unique que dans l'espace de son émetteur (OIDC Core §2) — l'identité est la paire, jamais le sujet seul.")
 });
 const resourceServerSchema = z.strictObject({
@@ -313,7 +321,18 @@ const auditSchema = z.strictObject({
 		reserved: true,
 		description: "INERTE — la diffusion realtime dépend de la présence d'abonnés WS (canal `nodefony:audit`), pas de ce drapeau. Le journal est diffusé dès qu'un client s'abonne."
 	}),
-	retentionDays: z.number().int().default(365)
+	retentionDays: z.number().int().default(365),
+	aggregate: z.strictObject({
+		enabled: z.boolean().default(true).describe("Agrège les REFUS (failure/denied) d'une même source : un flot ne s'écrit pas d'une ligne par requête. Les succès ne sont jamais agrégés."),
+		windowMs: z.number().int().positive().default(6e4).describe("Durée d'une fenêtre, en ms, ouverte au premier refus d'une clé (catégorie, action, issue, motif, ressource, IP)."),
+		burst: z.number().int().nonnegative().default(10).describe("Refus d'une clé écrits TELS QUELS par fenêtre (acteur compris) ; les suivants sont comptés, puis UNE ligne de synthèse (`metadata.aggregated`) clôt la fenêtre."),
+		maxKeys: z.number().int().positive().default(1e4).describe("Clés suivies au plus (mémoire bornée) ; au-delà, les refus se regroupent sous l'IP `*`.")
+	}).default(() => ({
+		enabled: true,
+		windowMs: 6e4,
+		burst: 10,
+		maxKeys: 1e4
+	}))
 }).describe("Journal d'audit sécurité (login, accès refusé, clés, webhooks).");
 const studioSchema = z.strictObject({
 	enabled: z.boolean().default(false).describe("Console admin Studio. OFF par défaut (surtout en prod)."),
@@ -417,7 +436,7 @@ const grantableScopesSchema = z.record(z.string(), z.array(z.string().min(1)).mi
 * cet axe. Étend OU surcharge les défauts système (placée AVANT eux à l'évaluation).
 */
 const realtimeChannelRuleSchema = z.strictObject({
-	pattern: z.string().describe("Préfixe de canal (match `startsWith`) : ex. 'orm:' couvre nodefony:orm:health/nodefony:orm:flow. Placé AVANT les défauts système → permet de surcharger (assouplir/durcir) un namespace réservé."),
+	pattern: z.string().describe("Préfixe de canal (match `startsWith`) : ex. 'nodefony:orm:' couvre nodefony:orm:health/nodefony:orm:flow, 'net:' couvre net:health. Placé AVANT les défauts système → permet de surcharger un namespace réservé (le durcir, le re-cibler sur un autre rôle — jamais l'ouvrir à l'anonyme) ou d'ouvrir à l'application un canal à suffixe :health/:stats."),
 	authenticated: z.boolean().optional().describe("Exige une connexion authentifiée (token non anonyme)."),
 	roles: z.array(z.string()).optional().describe("Un de ces rôles suffit (évalué AVEC la hiérarchie de rôles)."),
 	scopes: z.array(z.string()).optional().describe("Un de ces scopes suffit (axe API : JWT/clé API ; une session BFF n'en porte pas).")
@@ -427,7 +446,7 @@ const securityConfigSchema = z.strictObject({
 	roleHierarchy: z.record(z.string(), z.array(z.string())).default({}).describe("Hiérarchie de rôles (ROLE_ADMIN: ['ROLE_USER'])."),
 	grantableScopes: grantableScopesSchema,
 	areas: z.record(z.string(), areaSchema).default({}).describe("Zones sécurisées (firewall) par nom."),
-	realtimeChannels: z.array(realtimeChannelRuleSchema).default([]).describe("Politiques d'autorisation par préfixe sur le temps réel. Couvre les canaux WS (subscribe/inbound) **ET les actions RPC** : le nom de méthode d'une frame entrante est soumis aux mêmes règles de préfixe — une règle `admin:` garde donc aussi l'action `admin:purge`. Étend/surcharge les défauts système (syslog:/orm:/node:/dashboard:/debugbar:/realtime:/cluster: + :health/:stats = ROLE_NODEFONY_ADMIN, l'échelle PLATEFORME : ces canaux exposent l'état du processus, pas celui d'une application). Ce qui n'est couvert par aucune règle reste libre, sauf gating `@RealtimeChannel` côté controller."),
+	realtimeChannels: z.array(realtimeChannelRuleSchema).default([]).describe("Politiques d'autorisation par préfixe sur le temps réel. Couvre les canaux WS (subscribe/inbound) **ET les actions RPC** : le nom de méthode d'une frame entrante est soumis aux mêmes règles de préfixe — une règle `admin:` garde donc aussi l'action `admin:purge`. Étend/surcharge les défauts système (espace nodefony: + suffixes :health/:stats dans TOUT espace de noms = ROLE_NODEFONY_ADMIN, l'échelle PLATEFORME : ces canaux exposent l'état du processus, pas celui d'une application). Ce qui n'est couvert par aucune règle reste libre, sauf gating `@RealtimeChannel` côté controller."),
 	cors: corsSchema.default(() => corsSchema.parse({})),
 	csrf: csrfSchema.default(() => csrfSchema.parse({})),
 	headers: headersSchema.default(() => headersSchema.parse({})),

package/dist/nodefony/config/defineModuleConfig.js

@@ -1,5 +1,5 @@
 import { securityConfigSchema } from "./config.js";
-import { BootConfigurationError, parseModuleConfig } from "nodefony";
+import { BootConfigurationError, parseModuleConfig, stripTrailingSlashes } from "nodefony";
 import { z } from "zod";
 // nodefony/config/defineModuleConfig.ts
 /**
@@ -12,9 +12,60 @@ import { z } from "zod";
 function defineSecurityConfig(config = {}) {
 	const validated = parseModuleConfig(securityConfigSchema, config, "@nodefony/security");
 	detectConflicts(validated.areas);
+	resolveAreaResources(validated.areas, validated.jwt.issuer);
 	return Object.freeze(validated);
 }
 /**
+* Rend absolue la `resource` d'une zone écrite comme un CHEMIN (`/api/partner`),
+* contre l'émetteur des jetons de l'application (`jwt.issuer`) — son URL
+* publique, celle que voient les clients.
+*
+* Pourquoi : un MODULE qui apporte sa zone à jeton (surcharge
+* `module-security`) ne connaît pas l'adresse publique de l'application — elle
+* vient de l'environnement, que seul `env.ts` lit. Le chemin est ce qu'il
+* connaît ; l'origine est ce que l'application a déjà ÉCRIT une fois. La valeur
+* reste donc écrite, jamais dérivée du `Host`.
+*
+* Concaténation, pas `new URL(chemin, base)` : un émetteur qui porte un chemin
+* (`https://exemple.com/auth`) le garde, comme le fait déjà l'adresse publique
+* des gabarits (`${publicBaseUrl}/api/…`).
+*
+* @param areas - zones validées (mutées sur place, avant le gel)
+* @param issuer - `jwt.issuer` validé
+* @throws BootConfigurationError si un chemin est relatif au protocole (`//…`),
+*   ou si l'émetteur n'est pas une URL http(s) — retirer la zone ouvrirait ses
+*   routes à la zone voisine, donc on refuse de démarrer en nommant le geste.
+*/
+function resolveAreaResources(areas, issuer) {
+	for (const name in areas) {
+		const area = areas[name];
+		const resource = area?.resource;
+		if (area === void 0 || resource === void 0) continue;
+		if (!resource.startsWith("/")) continue;
+		if (resource.startsWith("//")) throw new BootConfigurationError(`[@nodefony/security] areas.${name}.resource « ${resource} » : un chemin commence par UN seul « / » — « // » désigne un autre hôte.`);
+		const base = publicIssuerBase(issuer);
+		if (base === null) throw new BootConfigurationError(`[@nodefony/security] areas.${name}.resource « ${resource} » est un chemin, rendu absolu contre jwt.issuer — qui n'est pas une URL http(s) (« ${issuer ?? "nodefony"} »). Pose jwt.issuer à l'adresse publique de l'application (une application générée la lit dans NF_JWT_ISSUER), ou écris la ressource en entier (https://…).`);
+		area.resource = `${base}${resource}`;
+	}
+}
+/**
+* L'émetteur, sans `/` final, s'il est une URL http(s) — sinon `null`.
+*
+* @param issuer - `jwt.issuer` validé
+* @returns la base contre laquelle résoudre un chemin, ou `null`
+*/
+function publicIssuerBase(issuer) {
+	if (issuer === void 0) return null;
+	let url;
+	try {
+		url = new URL(issuer);
+	} catch {
+		return null;
+	}
+	if (url.protocol !== "https:" && url.protocol !== "http:") return null;
+	return stripTrailingSlashes(issuer);
+}
+/**
 * JSON Schema introspectable de la config sécurité — **Studio génère son
 * formulaire d'édition depuis ça** (labels/types/défauts/descriptions),
 * sans UI hardcodée. Surface du data plane `/nodefony/security/api/config/schema`.

package/dist/nodefony/contracts/IWebhookPayload.js

@@ -0,0 +1 @@
+export {};

package/dist/nodefony/errors/FetchPublicError.js

@@ -0,0 +1,18 @@
+import { nodefonyError } from "nodefony";
+// nodefony/errors/FetchPublicError.ts
+/**
+* Échec d'une requête sortante vers un site tiers (`fetchPublic`) qui n'est PAS
+* un refus de cible : délai total dépassé (`504`), trop de redirections ou
+* échec réseau (`502`). Une cible interdite lève `SsrfError` (422), pas
+* celle-ci — l'appelant distingue ainsi « tu n'as pas le droit d'y aller » de
+* « le site n'a pas répondu ».
+*/
+var FetchPublicError = class extends nodefonyError {
+	/** Cause de l'échec, stable et exploitable sans lire le message. */
+	reason;
+	constructor(reason, message) {
+		super(message, reason === "timeout" ? 504 : 502);
+		this.reason = reason;
+	}
+};
+export { FetchPublicError };

package/dist/nodefony/errors/SsrfError.js

@@ -9,8 +9,16 @@ import { nodefonyError } from "nodefony";
 * d'un webhook invalide).
 */
 var SsrfError = class extends nodefonyError {
-	constructor(message = "URL sortante interdite (SSRF)") {
+	/**
+	* `forbidden` : la cible est interdite (protocole, identifiants, IP non
+	* publique). `unresolvable` : l'hôte n'a aucune adresse — rien d'interne n'est
+	* visé, le site est simplement injoignable ; un appelant qui rend ces deux cas
+	* à l'utilisateur les distingue par ce champ, jamais par le texte du message.
+	*/
+	reason;
+	constructor(message = "URL sortante interdite (SSRF)", reason = "forbidden") {
 		super(message, 422);
+		this.reason = reason;
 	}
 };
 export { SsrfError, SsrfError as default };

package/dist/nodefony/errors/StaleSessionError.js

@@ -0,0 +1,20 @@
+import { AuthenticationError } from "./AuthenticationError.js";
+// nodefony/errors/StaleSessionError.ts
+/**
+* Session PÉRIMÉE — elle ne désigne plus personne de valide : compte supprimé,
+* verrouillé, désactivé, recréé sous le même identifiant, mot de passe changé
+* depuis son ouverture, ou blob vidé. C'est un ÉTAT à purger, pas une preuve
+* fausse présentée par un tiers : le `SessionAuthenticator` la détruit côté
+* serveur ET côté navigateur (cookie expiré, RFC 6265 §5.3), puis le firewall
+* poursuit comme si aucune session n'avait été présentée — une page ouverte
+* aux anonymes s'affiche, une zone fermée redemande la connexion.
+*
+* Jamais levée pour une PANNE de la source d'identité : une base injoignable
+* ne dit rien de la session, qui doit survivre à l'incident.
+*/
+var StaleSessionError = class extends AuthenticationError {
+	constructor(message = "Invalid session") {
+		super(message);
+	}
+};
+export { StaleSessionError, StaleSessionError as default };

package/dist/nodefony/errors/index.js

@@ -1,10 +1,12 @@
-import { InsecureTransportError } from "./InsecureTransportError.js";
-import { CsrfError } from "./CsrfError.js";
 import { AuthenticationError } from "./AuthenticationError.js";
+import { StaleSessionError } from "./StaleSessionError.js";
+import { AccessDeniedError } from "./AccessDeniedError.js";
 import { ThrottledError } from "./ThrottledError.js";
 import { UnverifiableTokenError } from "./UnverifiableTokenError.js";
 import { InvalidTargetError } from "./InvalidTargetError.js";
-import { WebAuthnError } from "./WebAuthnError.js";
+import { CsrfError } from "./CsrfError.js";
 import { SsrfError } from "./SsrfError.js";
-import { AccessDeniedError } from "./AccessDeniedError.js";
-export { AccessDeniedError, AuthenticationError, CsrfError, InsecureTransportError, InvalidTargetError, SsrfError, ThrottledError, UnverifiableTokenError, WebAuthnError };
+import { FetchPublicError } from "./FetchPublicError.js";
+import { WebAuthnError } from "./WebAuthnError.js";
+import { InsecureTransportError } from "./InsecureTransportError.js";
+export { AccessDeniedError, AuthenticationError, CsrfError, FetchPublicError, InsecureTransportError, InvalidTargetError, SsrfError, StaleSessionError, ThrottledError, UnverifiableTokenError, WebAuthnError };

package/dist/nodefony/keycloak/keycloakAdmin.js

@@ -1,4 +1,5 @@
 import { isNodefonyKeycloakTheme, keycloakLoginTheme, realmNameFromIssuer } from "./keycloakRealmInput.js";
+import { ownField } from "nodefony";
 // nodefony/keycloak/keycloakAdmin.ts
 /** Refus ou échec d'un appel ; le message nomme la cause et le geste suivant. */
 var KeycloakAdminError = class extends Error {
@@ -183,9 +184,8 @@ var KeycloakAdminClient = class {
 			throw new KeycloakAdminError(`compte administrateur refusé par Keycloak (HTTP ${response.status}, realm master) — vérifier NF_KEYCLOAK_ADMIN_USERNAME et NF_KEYCLOAK_ADMIN_PASSWORD`, response.status);
 		}
 		const payload = await response.json();
-		const field = (key) => typeof payload === "object" && payload !== null ? Object.getOwnPropertyDescriptor(payload, key)?.value : void 0;
-		const accessToken = field("access_token");
-		const expiresIn = field("expires_in");
+		const accessToken = ownField(payload, "access_token");
+		const expiresIn = ownField(payload, "expires_in");
 		if (typeof accessToken !== "string" || accessToken === "") throw new KeycloakAdminError("Keycloak n'a rendu aucun jeton d'administration");
 		const lifetimeMs = typeof expiresIn === "number" ? expiresIn * 1e3 : 0;
 		this.#token = {