@nodefony/security 10.0.0-beta.5 → 10.0.0-beta.7

package/docs/keycloak.md

@@ -265,10 +265,10 @@ lui, en a un de test — Mailpit (`--profile keycloak`, interface `http://localh
    processus dès le démarrage, commandes en ligne comprises (`addDefaultCaCertificate()`,
    `certificates.ts#addDefaultCaCertificate`). La variable `NODE_EXTRA_CA_CERTS` n'est plus nécessaire.
 
-Le realm généré porte aussi, comme celui du dépôt, un client **machine** `<app>-machine` (compte de
-service, `client_credentials`). Ses jetons portent l'audience de la zone `partner` que le gabarit
-`complete` ouvre (`https://localhost:5152/api/partner`) : `npx nodefony app:partner:call --issuer
-keycloak` obtient un jeton et appelle `GET /api/partner/whoami` dès le premier démarrage. Quand tu
+Une application créée avec `--demo` reçoit aussi, comme le dépôt, un client **machine** `<app>-machine`
+(compte de service, `client_credentials`). Ses jetons portent l'audience de la zone `demo-partner`
+que la démo ouvre (`https://localhost:5152/demo/api/partner`) : `npx nodefony demo:partner:call
+--issuer keycloak` obtient un jeton et appelle `GET /demo/api/partner/whoami` dès le premier démarrage. Quand tu
 ouvres une autre zone (section « Le jeton Keycloak sur ton API », plus bas),
 `npx nodefony security:keycloak:realm --write` ajoute le mapper qui inscrit sa `resource` dans les
 jetons.

package/docs/login-page.md

@@ -118,8 +118,8 @@ redéfinissent pour les deux thèmes (voir « Pièges », plus bas) :
 
 ### Ce qu'on observe
 
-- `GET /login` rend la page, avec `Cache-Control: no-store` et une CSP
-  `frame-ancestors 'none'` (`LoginPageController.ts#LoginPageController.constructor`) ;
+- `GET /login` rend la page, avec `Cache-Control: no-store` et, par défaut, une CSP
+  `frame-ancestors 'none'` (réglée pour toute l’application par `http.securityHeaders.frameOptions`) ;
 - le titre de la carte vaut « Espace client », le panneau affiche votre accroche à la place de la
   vitrine Nodefony ;
 - votre feuille arrive en second `<link rel="stylesheet">`, après `login.css` : vos variables
@@ -303,7 +303,8 @@ nommant, au lieu d'être ignorée.
 
 ## 🔒 Sécurité
 
-- **Pas de cache partagé** (`no-store`) ni d'affichage dans un cadre (`frame-ancestors 'none'`) ;
+- **Pas de cache partagé** (`no-store`) ; l’affichage dans un cadre suit `http.securityHeaders.frameOptions`,
+  refusé par défaut (`X-Frame-Options: DENY`, `frame-ancestors 'none'`) ;
   le script porte le nonce CSP de la requête.
 - **Mot de passe en clair refusé en production** : sur une requête qui n'arrive pas en HTTPS, la
   connexion répond 403 avant toute vérification, et la page affiche « doit passer par HTTPS » au

package/docs/obtenir-un-jeton.md

@@ -125,15 +125,15 @@ Puis `npm run build` — le runtime lit le `dist`, pas la source.
 
 ### Les options, et ce que chacune décide
 
-| Option                 | Défaut                                       | Ce qu'elle change                                        |
-| ---------------------- | -------------------------------------------- | -------------------------------------------------------- |
-| `[identifier]`         | `admin`                                      | le compte porteur du jeton                               |
-| `-s, --scope <liste>`  | `admin:read`                                 | les pouvoirs demandés — ajouter `admin:write` pour muter |
-| `-r, --resource <uri>` | la porte MCP de l'application                | viser une **autre** audience                             |
-| `-a, --agent <noms>`   | ceux détectés                                | quels agents servir — `none` pour aucun                  |
-| `-t, --ttl <minutes>`  | 8 h avec `--write`, sinon la config (15 min) | la durée de validité, **bornée à 30 jours**              |
-| `-w, --write`          | proposé en terminal                          | poser `NF_MCP_TOKEN` chez les agents présents            |
-| `-j, --json`           | —                                            | sortie machine, sans invite                              |
+| Option                 | Défaut                                       | Ce qu'elle change                                                                                        |
+| ---------------------- | -------------------------------------------- | -------------------------------------------------------------------------------------------------------- |
+| `[identifier]`         | `admin`                                      | le compte porteur du jeton                                                                               |
+| `-s, --scope <liste>`  | `admin:read`                                 | les pouvoirs demandés — ajouter `admin:write` pour muter                                                 |
+| `-r, --resource <uri>` | la porte MCP de l'application                | viser une **autre** porte — son jeton va dans l'en-tête de l'agent, jamais dans `NF_MCP_TOKEN`           |
+| `-a, --agent <noms>`   | ceux détectés                                | quels agents servir — `none` pour aucun                                                                  |
+| `-t, --ttl <minutes>`  | 8 h avec `--write`, sinon la config (15 min) | la durée de validité, **bornée à 30 jours**                                                              |
+| `-w, --write`          | proposé en terminal                          | poser `NF_MCP_TOKEN` chez les agents présents — **refusé** avec un `--resource` qui vise une autre porte |
+| `-j, --json`           | —                                            | sortie machine, sans invite                                                                              |
 
 Le plafond de `--ttl` n'est pas décoratif : un jeton posé dans un fichier **est une clé**, et une
 clé se remplace (`security-mcp-token.ts#ttlSeconds`).
@@ -152,6 +152,13 @@ les agents dont la présence est **constatée** dans le projet — on ne crée p
 outil que personne n'utilise ici. La table des cibles vit au cœur
 (`src/nodefony/src/cli/agentTargets.ts#AGENT_TARGETS`) : Claude, Gemini, Vibe, Codex.
 
+`NF_MCP_TOKEN` sert **la porte de l'outillage**, et elle seule. Un jeton émis pour une autre porte
+(`--resource`) porte une autre audience : posé dans cette variable, il serait refusé par la porte de
+l'outillage, dont les outils réservés disparaîtraient sans un mot. La commande refuse donc `--write`
+dans ce cas, et n'affiche pas de ligne d'`export` (`security-mcp-token.ts#targetsOtherGate`) : ce
+jeton va dans l'en-tête de l'agent qui parle à cette porte, par exemple
+`claude mcp add --transport http <nom> <porte> --header "Authorization: Bearer <le jeton>"`.
+
 Deux garanties qui ne se négocient pas :
 
 - **jamais dans un fichier suivi par git** — un jeton commité est un jeton publié, et c'est la seule
@@ -246,7 +253,7 @@ audiences: ctx.isProd
   ? []
   : [
       // … les audiences du gabarit
-      `${publicBaseUrl(ctx.env)}/api/mcp`,
+      `${publicBaseUrl(ctx.env)}/mcp`,
     ],
 ```
 

package/docs/tokens.md

@@ -485,7 +485,7 @@ Tables dérivées du schéma Zod — `jwtSchema` (`config.ts#jwtSchema`) et `tok
 | `refreshTtlS` | number (s) | `604800` | TTL du refresh — 7 jours (`config.ts#jwtSchema`) |
 | `rotateRefresh` | boolean | `true` | Rotation du refresh à chaque usage, OWASP (`config.ts#jwtSchema`) |
 | `jwks` | boolean | `true` | Publie `/.well-known/jwks.json` + les métadonnées RFC 8414 — sans `issuer` en URL https, rien n'est publié |
-| `audiences` | string[] | `[]` | `aud` acceptées (RFC 8707) ; vide = `[issuer]` (`config.ts#jwtSchema`) |
+| `audiences` | string[] | `[]` | Liste blanche des `aud` ÉMETTABLES (RFC 8707), la 1ʳᵉ = défaut ; vide = `[issuer]`. Une zone `jwt` n’accepte que SA `resource`, sinon l’audience par défaut (`JwtAuthenticator.ts#JwtAuthenticator.authenticate`) |
 | `issuer` | string? | — | Claim `iss`, **STABLE** après émission ; omis → repli `"nodefony"`, qui n'est PAS publiable (RFC 8414 §2 exige une URL https) |
 | `keystore.keySetJson` | string? | — | JWK Set privé partagé par tous les process (`NF_JWT_KEYSET`) — SECRET, forme vérifiée au démarrage (`security/nodefony/config/config.ts#jwtSchema`) |
 | `keystore.dir` | string? | — | Dossier `keyset.json` chmod 600, création exclusive — dev, ou serveur unique à disque persistant (`config.ts#jwtSchema`) |

package/docs/totp.md

@@ -581,7 +581,7 @@ TOTP et les passkeys (`cascadeUserRevocation`, `userRevocationCascade.ts#cascade
 recréé sous le même identifiant hériterait du second facteur de l'ancien titulaire. Un compte
 seulement désactivé ou verrouillé garde ses facteurs.
 
-Spécification logique de la table (`TOTP_SECRET_TABLE_SPEC`, `totpSecretEntity.ts#TOTP_SECRET_TABLE_SPEC`), déclinée par
+Spécification logique de la table (`TOTP_SECRET_TABLE`, `totpSecretEntity.ts#TOTP_SECRET_TABLE`), déclinée par
 dialecte via le colKit :
 
 | Colonne         | Rôle                                            | SQLite             | PostgreSQL | MySQL / MariaDB |
@@ -600,7 +600,7 @@ dialecte via le colKit :
 Deux pièges de lecture, signalés dans l'entité elle-même :
 
 - `lastUsedStep` est un **numéro de tranche RFC 6238**, pas un horodatage — d'où le type `int`
-  partout, quand les vraies dates sont en `epochMs` (`totpSecretEntity.ts#TotpSecretRow.algorithm`).
+  partout, quand les vraies dates sont en `int64` (`totpSecretEntity.ts#TotpSecretRow.algorithm`).
 - Un epoch en millisecondes **déborde** un `integer` 32 bits → `bigint` en PostgreSQL et MySQL
   (SQLite, lui, a des INTEGER 64 bits).
 

package/docs/webauthn.md

@@ -504,8 +504,8 @@ clé privée n'existe que dans l'authenticator.
 | `backupState`    | BS flag — la passkey **est** sauvegardée             | `bool` notNull      | `Boolean` requis | `"1"`/`"0"`             |
 | `uvInitialized`  | Une vérification humaine a déjà eu lieu              | `bool` notNull      | `Boolean` requis | `"1"`/`"0"`             |
 | `nickname`       | Surnom d'appareil, optionnel                         | `text` nullable     | `String` (null)  | champ absent si vide    |
-| `createdAt`      | Enrôlement (epoch ms)                                | `epochMs` notNull   | `Number` requis  | champ                   |
-| `lastUsedAt`     | Dernière authentification réussie, ou `null`         | `epochMs` nullable  | `Number` (null)  | champ absent si null    |
+| `createdAt`      | Enrôlement (epoch ms)                                | `int64` notNull     | `Number` requis  | champ                   |
+| `lastUsedAt`     | Dernière authentification réussie, ou `null`         | `int64` nullable    | `Number` (null)  | champ absent si null    |
 
 Spécification SQL : `webAuthnCredentialEntity.ts#webAuthnCredentialSchema`, index sur `userId`
 (`drizzle/nodefony/entity/webAuthnCredentialEntity.ts#WebAuthnCredentialRow.userId`). Schéma documentaire :

package/docs/webhooks.md

@@ -89,6 +89,7 @@ part (les autres événements ne sont pas souscrits) :
 ```json
 {
   "id": "msg_7Yb1kQ2pR8sT",
+  "timestamp": "2026-10-29T09:14:03.000Z",
   "type": "login.failure",
   "data": {
     "actor": "alice",
@@ -98,6 +99,13 @@ part (les autres événements ne sont pas souscrits) :
 }
 ```
 
+> [!NOTE]
+> **`timestamp` date la TENTATIVE, pas l'événement** : un réessai deux heures plus tard porte une
+> heure plus tardive. L'heure de l'événement vit dans `data` (`ts` pour l'audit). Et `id` est
+> exactement l'en-tête `webhook-id`, stable d'un réessai à l'autre : c'est la clé de déduplication.
+> Le corps se type par `IWebhookPayload` (exporté par `@nodefony/security`,
+> `IWebhookPayload.ts#IWebhookPayload`).
+
 > [!NOTE]
 > Ce qui peut partir est **ce que le journal d'audit de sécurité enregistre** : connexions, refus
 > d'accès, jetons, sessions, passkeys. Tes propres événements applicatifs — « commande payée »,
@@ -250,6 +258,7 @@ import { createHmac, timingSafeEqual } from "node:crypto";
 import { Buffer } from "node:buffer";
 // prettier-ignore
 import { Controller, controller, Post, Body, Headers, BypassFirewall } from "@nodefony/framework";
+import type { IWebhookPayload } from "@nodefony/security";
 // NF_HOOK_SECRET se déclare dans env.ts (`envString`) : seul lecteur de l'environnement.
 import { env } from "../../env";
 
@@ -276,7 +285,7 @@ class HookMiniController extends Controller {
     if (got.length !== want.length || !timingSafeEqual(got, want)) {
       return this.renderJson({ error: "bad signature" }, 401);
     }
-    this.log(`reçu : ${(JSON.parse(raw) as { type: string }).type}`, "INFO");
+    this.log(`reçu : ${(JSON.parse(raw) as IWebhookPayload).type}`, "INFO");
     return this.renderJson({ ok: true });
   }
 }
@@ -308,6 +317,7 @@ import { createHmac, timingSafeEqual } from "node:crypto";
 import { Buffer } from "node:buffer";
 // prettier-ignore
 import { Controller, controller, Post, Body, Headers, BypassFirewall } from "@nodefony/framework";
+import type { IWebhookPayload } from "@nodefony/security";
 import { env } from "../../env";
 
 /** Secret `whsec_…` donné par l'émetteur — déclaré dans env.ts, jamais en dur. */
@@ -369,7 +379,7 @@ class HookController extends Controller {
 
     // 4. Dédupliquer par `webhook-id` AVANT d'agir (un retry rejoue le MÊME id),
     //    puis répondre 2xx vite : le travail long part en tâche de fond.
-    const event = JSON.parse(raw) as { id: string; type: string };
+    const event = JSON.parse(raw) as IWebhookPayload;
     this.log(`webhook ${event.id} — ${event.type}`, "INFO");
     return this.renderJson({ ok: true });
   }
@@ -431,20 +441,47 @@ Les catégories d'audit disponibles (`AuditCategory`, `IAuditEvent.ts#AuditCateg
 | `webhook`  | Vie des webhooks eux-mêmes (`webhook.created`, `webhook.disabled`)         |
 | `config`   | Mutation de config runtime depuis Studio                                   |
 
+> [!IMPORTANT]
+> **Les noms de l'audit sont RÉSERVÉS.** Une émission applicative d'événements, quand elle viendra,
+> refusera tout type qui appartient à l'audit (`login.*`, `token.*` et les autres familles
+> ci-dessus) : sans cette réserve, un code applicatif pourrait fabriquer un `login.success` signé
+> par le serveur, qu'un centre de sécurité abonné ne distinguerait pas d'un vrai
+> ([ADR-0023](../../../../../docs/adr/0023-webhooks-evenements-et-abonnements.md), W3). Ne nommez
+> pas vos futurs événements comme ceux de l'audit.
+
 > [!NOTE]
 > Trois catégories sont **réservées** au contrat sans émetteur à ce jour : `oauth`, `csrf`, `cors`
 > (`IAuditEvent.ts#AuditCategory`). S'y abonner est accepté, mais ne livre jamais rien.
 
 ### La syntaxe d'abonnement
 
-Le champ `events` d'un endpoint accepte trois formes, résolues par `matchesSubscription()`
-(`WebhookDispatcher.ts#matchesSubscription`) :
+Le champ `events` d'un endpoint prend des **motifs**, dans la même grammaire que les canaux de la
+socket : `*` vaut n'importe quelle suite de caractères, tout le reste est littéral, trois `*` au
+plus. Un motif plus large est **refusé** à l'enregistrement, avec une erreur qui le nomme. La règle
+vit une seule fois, au cœur (`channelPattern.ts#compileChannelPattern`), et
+`matchesSubscription()` (`WebhookDispatcher.ts#matchesSubscription`) l'appelle :
 
-| Motif             | Matche                                                | Usage typique                   |
-| ----------------- | ----------------------------------------------------- | ------------------------------- |
-| `"*"`             | **toutes** les actions                                | un SIEM qui veut tout           |
-| `"login.success"` | l'action exacte, et elle seule                        | une alerte ciblée               |
-| `"login.*"`       | toute action **préfixée** `login.` (`login.failure`…) | suivre une famille d'événements |
+| Motif             | Désigne                                               | Usage typique                     |
+| ----------------- | ----------------------------------------------------- | --------------------------------- |
+| `"*"`             | **toutes** les actions                                | un SIEM qui veut tout             |
+| `"login.success"` | l'action exacte, et elle seule                        | une alerte ciblée                 |
+| `"login.*"`       | toute action **préfixée** `login.` (`login.failure`…) | suivre une famille d'événements   |
+| `"commande:*"`    | `commande:42`, `commande:créée`…                      | un espace de noms applicatif      |
+| `"*:créée"`       | toute action qui finit par `:créée`                   | un même geste sur tous les objets |
+
+> [!IMPORTANT]
+> **`"*"` veut dire tout, y compris ce qui viendra.** Aujourd'hui, seuls les événements d'audit
+> sont livrés ; le jour où une application pourra émettre les siens, un abonnement `"*"` les
+> recevra aussi. Qui ne veut que la sécurité liste ses familles (`login.*`, `token.*`…). Cette
+> grammaire ne changera pas de sens dans la série 10
+> ([ADR-0023](../../../../../docs/adr/0023-webhooks-evenements-et-abonnements.md), W2).
+>
+> **Le périmètre.** Le périmètre d'un événement est le locataire — l'organisation cliente — auquel
+> il est rattaché. Un abonnement sans périmètre — le cas de tous aujourd'hui — a le périmètre de
+> la **plateforme** : il reçoit tout, y compris les événements qu'une version ultérieure rattachera
+> à un locataire (ADR-0023, W2). Le multi-tenant n'existant pas encore, `WebhookService.register`
+> **refuse** un `tenantId` rempli (`webhooks.ts#WebhookService.register`) : l'accepter le ferait
+> passer pour un cloisonnement qu'il n'est pas.
 
 > [!CAUTION]
 > Les événements de catégorie `webhook` **ne déclenchent jamais de livraison**
@@ -545,22 +582,30 @@ appliqué **deux fois** : à l'enregistrement, et **à nouveau juste avant chaqu
 | IPv4-mapped IPv6 sous toutes ses notations          | `::ffff:7f00:1`, `0:0:0:0:0:ffff:127.0.0.1` | rabattu nativement sur les règles IPv4 par `BlockList` (`isBlockedAddress()`, `ssrfGuard.ts#isBlockedAddress`) |
 | IP encodée en dword/hex/octal dans le nom d'hôte    | `http://2130706433/`                        | on passe l'IP **résolue** à `isBlockedAddress()`, jamais la chaîne d'hôte (`ssrfGuard.ts#isBlockedAddress`)    |
 | Nom DNS public qui **résout** vers du privé         | `hook.evil.com → 10.0.0.5`                  | toutes les IP résolues sont contrôlées, une seule interne = refus                                              |
-| **DNS rebinding** entre le contrôle et la connexion | —                                           | l'IP validée est **pinnée** à la connexion TCP (`webhookDelivery.ts#deliverWebhook`)                           |
-| **Redirection** `302 → 169.254.169.254`             | —                                           | `node:http(s)` ne suit **jamais** les 3xx ; le 3xx est rendu tel quel                                          |
+| **DNS rebinding** entre le contrôle et la connexion | —                                           | l'IP validée est **pinnée** à la connexion TCP (`fetchPublic.ts#fetchPublic`)                                  |
+| **Redirection** `302 → 169.254.169.254`             | —                                           | la livraison ne suit **aucune** redirection (`maxRedirects` à 0) ; le 3xx est rendu tel quel                   |
+| **Goutte-à-goutte** : un octet toutes les 3 s       | —                                           | délai **total** de la livraison, pas seulement d'inactivité (`fetchPublic.ts#IFetchPublicOptions.timeoutMs`)   |
+| **Corps de réponse infini**                         | —                                           | lecture coupée à 2 Kio et connexion détruite (`fetchPublic.ts#IFetchPublicOptions.maxBytes`)                   |
 
 ### Les deux subtilités qui font la différence
 
 **Le pin d'IP.** Valider puis se reconnecter, c'est laisser une fenêtre : le DNS peut répondre une IP
 publique au contrôle et une IP privée 50 ms plus tard. `deliverWebhook()` (`webhookDelivery.ts#deliverWebhook`)
-installe un `lookup` qui force la connexion vers l'IP **déjà validée**, tout en conservant le nom
+appelle `fetchPublic()` (`fetchPublic.ts#fetchPublic`), qui installe un `lookup` qui force la connexion vers l'IP **déjà validée**, tout en conservant le nom
 d'hôte pour le SNI/TLS et l'en-tête `Host`. Le second contrôle SSRF avant livraison —
 `resolveTarget()` (`WebhookDispatcher.ts#IWebhookDispatcherDeps.resolveTarget`) — sert exactement à produire ces adresses ; s'il échoue, la livraison est
 **abandonnée sans retry** (une cible devenue interne ne redeviendra pas légitime au réessai).
 
 **Le non-suivi des redirections.** `fetch()` suit les 3xx par défaut — ce qui annulerait tout le
-travail précédent. Le choix de `node:http(s)` natif n'est donc pas seulement une économie de
-dépendance : c'est une **propriété de sécurité**, couverte par un test dédié
-(`webhookDelivery.test.ts`, « 302 vers 169.254.169.254 → rendu tel quel, JAMAIS suivi »).
+travail précédent. `fetchPublic()` n'en suit aucune tant que `maxRedirects` reste à 0 (la livraison ne le change
+jamais), et quand un appelant en autorise, chaque cible est revérifiée comme la première. Couvert par
+`webhookDelivery.test.ts` (« 302 vers 169.254.169.254 → rendu tel quel, JAMAIS suivi ») et
+`fetchPublic.attack.test.ts`.
+
+**La même brique pour tout appel sortant.** `fetchPublic()` est exportée : tout code qui lit une adresse venue d'un
+humain (aperçu de lien, agent, RAG) l'appelle au lieu de `fetch()` — IP vérifiée puis épinglée à chaque saut,
+délai total, corps borné et non décodé. Refus de cible : `SsrfError` (422) ; site muet ou trop lent :
+`FetchPublicError` (`reason`).
 
 > [!CAUTION]
 > `assertPublicUrl()` fait un `Fail-closed` sur l'inconnu : une adresse syntaxiquement invalide est
@@ -747,7 +792,7 @@ partage entre pods. Les colonnes suivent `IWebhookEndpoint` (`IWebhookEndpoint.t
 | `events` | actions souscrites | `text mode:json` · `jsonb` · `json` | `[String]` |
 | `enabled` | actif ? | `integer mode:bool` · `boolean` · `boolean` | `Boolean` |
 | `description` | libellé console | `text` | `String` |
-| `tenantId` | slot multi-tenant (réservé) | `text` | `String` |
+| `tenantId` | périmètre d’un locataire (réservé, toujours `null`) | `text` | `String` |
 | `createdBy` | admin créateur (traçabilité) | `text` | `String` |
 | `createdAt` / `updatedAt` | epoch **ms** | `integer` · `bigint` · `bigint` | `Number` |
 | `lastDeliveryAt` | dernière tentative (epoch ms) | `integer` · `bigint` · `bigint` | `Number` |
@@ -757,7 +802,7 @@ partage entre pods. Les colonnes suivent `IWebhookEndpoint` (`IWebhookEndpoint.t
 | `metadata` | extras applicatifs (jamais de secret) | `text mode:json` · `jsonb` · `json` | `Object` |
 
 Côté SQL, la table est décrite **une seule fois** en spec logique
-(`WEBHOOK_ENDPOINT_TABLE_SPEC`, `drizzle/nodefony/entity/webhookEndpointEntity.ts#WEBHOOK_ENDPOINT_TABLE_SPEC`) puis déclinée
+(`WEBHOOK_ENDPOINT_TABLE`, `drizzle/nodefony/entity/webhookEndpointEntity.ts#WEBHOOK_ENDPOINT_TABLE`) puis déclinée
 par dialecte via le `colKit`. Côté documentaire, le schéma force `_id: String` — l'identifiant
 `wh_…` **est** la clé primaire, pas un `ObjectId` généré
 (`webhookEndpointSchema`, `mongoose/nodefony/entity/webhookEndpointEntity.ts#webhookEndpointSchema`).
@@ -979,7 +1024,7 @@ secret, et sait **simuler des pannes** pour observer retries et auto-désactivat
 | Le récepteur voit deux fois le même événement                                  | Un retry rejoue le **même** `webhook-id`                                                                                             | Dédupliquer par `webhook-id` côté récepteur                            |
 | Endpoint passé `enabled: false` tout seul                                      | 20 échecs consécutifs → auto-désactivation (`webhooks.ts#WebhookService.rotateSecret`)                                               | Réparer la destination, puis `PATCH … {"enabled":true}`                |
 | Livraisons « abandonnées » dans les logs                                       | File pleine (`maxQueue`) — best-effort assumé                                                                                        | Augmenter `maxQueue`/`maxConcurrent`, ou réduire le volume souscrit    |
-| Un `302` vers l'interne n'est pas suivi                                        | **Voulu** : `node:http(s)` ne suit jamais les 3xx                                                                                    | Rien à corriger — configurer l'URL finale côté destinataire            |
+| Un `302` vers l'interne n'est pas suivi                                        | **Voulu** : la livraison ne suit aucune redirection                                                                                  | Rien à corriger — configurer l'URL finale côté destinataire            |
 | Le secret a été perdu                                                          | Il n'est montré qu'à la création/rotation                                                                                            | `POST …/reveal` (audité) ou rotation + redéploiement chez le tiers     |
 | Après un redémarrage, plus aucun endpoint                                      | `store: "memory"` — registre volatil et par pod                                                                                      | Déclarer une infra durable (`store: "auto"` suffit alors)              |
 | Multi-pod : un endpoint créé ne livre pas tout de suite depuis les autres pods | Le snapshot est relu après `webhooks.snapshotTtlS` (30 s par défaut, `webhooks.ts#WebhookService.#touchSnapshot`), pas immédiatement | Attendre au plus `snapshotTtlS`, ou le baisser                         |

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nodefony/security",
-  "version": "10.0.0-beta.5",
+  "version": "10.0.0-beta.7",
   "description": "Pare-feu applicatif par zones pour Nodefony : authentification, autorisation par rôles, protection CSRF, journal d'audit",
   "author": "Christophe CAMENSULI <ccamensuli@gmail.com>",
   "main": "./dist/index.js",
@@ -35,7 +35,7 @@
   },
   "private": false,
   "engines": {
-    "node": ">=24.14.0"
+    "node": "^24.16.0 || >=26.0.0"
   },
   "keywords": [
     "nodefony",
@@ -55,28 +55,28 @@
     "directory": "src/packages/@nodefony/security"
   },
   "dependencies": {
-    "@simplewebauthn/server": "14.0.3",
-    "jose": "6.2.13",
-    "tslib": "2.8.1",
+    "@simplewebauthn/server": "14.1.0",
+    "jose": "6.2.17",
+    "tslib": "2.9.1",
     "zod": "^4.6.7"
   },
   "devDependencies": {
-    "@nodefony/framework": "^10.0.0-beta.5",
-    "@nodefony/http": "^10.0.0-beta.5",
-    "@nodefony/user": "^10.0.0-beta.5",
-    "@types/node": "26.6.5",
-    "@vitest/coverage-v8": "5.0.5",
-    "nodefony": "^10.0.0-beta.5",
-    "vitest": "5.0.5"
+    "@nodefony/framework": "^10.0.0-beta.7",
+    "@nodefony/http": "^10.0.0-beta.7",
+    "@nodefony/user": "^10.0.0-beta.7",
+    "@types/node": "26.6.6",
+    "@vitest/coverage-v8": "5.1.0",
+    "nodefony": "^10.0.0-beta.7",
+    "vitest": "5.1.0"
   },
   "license": "Apache-2.0",
   "readmeFilename": "README.md",
   "contributors": [],
   "peerDependencies": {
-    "@nodefony/framework": "^10.0.0-beta.5",
-    "@nodefony/http": "^10.0.0-beta.5",
-    "@nodefony/user": "^10.0.0-beta.5",
-    "nodefony": "^10.0.0-beta.5"
+    "@nodefony/framework": "^10.0.0-beta.7",
+    "@nodefony/http": "^10.0.0-beta.7",
+    "@nodefony/user": "^10.0.0-beta.7",
+    "nodefony": "^10.0.0-beta.7"
   },
   "files": [
     "dist",
@@ -86,7 +86,7 @@
   "publishConfig": {
     "access": "public"
   },
-  "homepage": "https://nodefony.github.io/nodefony-core/",
+  "homepage": "https://nodefony.net/",
   "bugs": {
     "url": "https://github.com/nodefony/nodefony-core/issues"
   }