emilsoftware-utilities 2.0.0-dev.79 → 2.0.0-dev.80

package/docs/adr/0002-multi-tenancy.md

@@ -0,0 +1,154 @@
+# ADR 0002 - Multi-tenancy con database separati
+
+- **Stato**: accettato
+- **Data**: 2026-10-30
+- **Contesto**: issue #10
+
+## Contesto
+
+Accessi nasce single-tenant: un database Firebird, un issuer JWT, un set di
+store e una console. Due tenant richiedono isolamento esplicito di dati, chiavi
+e osservabilità. Il modello dati non ha una colonna tenant e tutte le query
+assumono un solo insieme di utenti e menu.
+
+Vincoli:
+
+- Firebird/InterBase: non esistono schema o `search_path` per tenant; un
+  database separato è l'unità di isolamento naturale.
+- Le migrazioni e le seed sono per database.
+- `AccessiModule.forRoot` registra una configurazione globale nel contenitore
+  Nest: due tenant nello stesso processo condividerebbero DI, audit e logger.
+- L'isolamento richiesto dall'issue è "nessun dato o token di un tenant visibile
+  a un altro".
+
+## Decisione
+
+**Un database per tenant, nessuna colonna `TENANT`, nessuna modifica allo
+schema.** Un tenant è una cartella di configurazione:
+
+```
+tenants/
+  acme.env
+  beta.env
+```
+
+Ogni file contiene le normali variabili `ACCESSI_*` già lette da
+`createAccessiOptionsFromEnv`, più un manifest minimo:
+
+```dotenv
+ACCESSI_TENANT_HOSTS=accessi.acme.example.com,*.acme.example.com
+ACCESSI_TENANT_PATH=/acme
+ACCESSI_TENANT_PORT=3201
+ACCESSI_TENANT_ENABLED=true
+
+ACCESSI_DB_HOST=db-acme
+ACCESSI_DB_DATABASE=/data/acme.fdb
+ACCESSI_JWT_ISSUER=https://accessi.acme.example.com
+ACCESSI_JWT_AUDIENCE=accessi-api
+ACCESSI_JWT_SECRET=...
+ACCESSI_ENCRYPTION_KEY=...
+```
+
+`loadAccessiTenants({ directory })` valida l'intera cartella prima di avviare
+qualsiasi cosa:
+
+- `ACCESSI_TENANT_ID` (o nome file) univoco, minuscole/numeri/`-`/`_`;
+- almeno host o path; host e path non duplicati;
+- chiave JWT distinta per tenant (un token non deve valere su due tenant);
+- issuer/audience condivisi producono un warning;
+- un tenant con path `/` e senza host non può convivere con altri;
+- errori aggregati con nome file, senza stampare segreti.
+
+La risoluzione runtime è **host → path → header**:
+
+1. host esatto o wildcard `*.example.com`;
+2. prefisso path più lungo;
+3. header `x-accessi-tenant`, **solo** se `allowHeader: true` e quindi solo
+   dietro un proxy/API gateway che lo sovrascrive.
+
+Nessun fallback implicito: una richiesta senza tenant valido viene rifiutata
+dal router, non servita dal "primo" tenant.
+
+### Processo per tenant
+
+Ogni tenant gira in un **processo Accessi separato** con il proprio environment,
+database, pool, chiavi, store Redis e logger. Il supervisore
+`node scripts/accessi-tenants.cjs --serve` avvia un figlio per ogni file `.env`
+abilitato e passa `PORT`, `ACCESSI_TENANT_ID` e le variabili del file.
+
+Questo evita di condividere:
+
+- `AccessiModule.forRoot` e la DI Nest;
+- il registry globale di audit e metriche;
+- il pool Firebird e la cache delle migrazioni;
+- la chiave JWT e l'issuer.
+
+### Store condivisi
+
+Se più tenant condividono lo stesso Redis, ogni store deve usare un prefisso
+diverso:
+
+```ts
+const prefix = getAccessiTenantRedisPrefix('acme'); // accessi:acme:
+createRedisRateLimitStore({ client, keyPrefix: `${prefix}rate:` });
+createRedisSessionRevocationStore({ client, keyPrefix: `${prefix}session:` });
+```
+
+La configurazione del tenant espone `options.tenantId`, utile per comporre i
+prefissi e per le etichette di metriche e audit.
+
+### Osservabilità
+
+- Metriche: `countAccessiMetric` e `observeAccessiMetric` aggiungono
+  automaticamente il label `tenant` quando `options.tenantId` è impostato.
+- Audit: `configureAccessiAudit` aggiunge `tenant` a ogni record quando il
+  modulo è avviato con `tenantId`.
+- Log: il processo figlio ha il proprio `ACCESSI_TENANT_ID`; includerlo nel
+  formato del logger dell'host.
+- Health: ogni processo espone `/health/live`, `/health/ready` e
+  `/health/metrics` sulla propria porta interna.
+
+## Alternative scartate
+
+| Alternativa | Perché no |
+| --- | --- |
+| Colonna `TENANT` su tutte le tabelle | Migrazione invasiva, rischio di dimenticare un filtro, chiavi primarie e vincoli da rifare. Non necessaria con DB separati. |
+| Schema per tenant | Firebird non offre schema/search_path; sarebbe un database separato con altro nome. |
+| Due `AccessiModule` nello stesso processo | La configurazione Nest è globale; audit/metriche/logger condividono stato. |
+| Selezione tenant da header non fidato | Permetterebbe a un client di cambiare tenant e tentare leakage; consentito solo dietro proxy che sovrascrive l'header. |
+| Hot reload dei file `.env` | Nest non smonta moduli a caldo; il riavvio del supervisore è più semplice e sicuro. |
+
+## Conseguenze
+
+Positive:
+
+- isolamento forte: database, chiavi e processi separati;
+- nessuna migrazione dello schema esistente;
+- aggiunta tenant = nuovo file `.env` + riavvio del supervisore;
+- rollback per tenant indipendente.
+
+Negative:
+
+- più processi e pool Firebird da dimensionare;
+- migrazioni/seed da eseguire per ogni database;
+- backup, monitoring e rotazione chiavi per tenant;
+- l'header di risoluzione richiede disciplina sul proxy;
+- il supervisore deve essere gestito da systemd/docker/Kubernetes.
+
+## Piano
+
+1. **Fase 1 (questa)**: loader cartella, validazione isolamento, CLI
+   `accessi:tenants` (`--check`, `--list`, `--resolve`, `--serve`), documentazione
+   e test.
+2. **Fase 2**: template systemd/docker e reverse proxy host/path; health check
+   per tenant nel supervisore.
+3. **Fase 3**: migrazione del deployment single-tenant esistente: creare
+   `tenants/<id>.env` dal `.env` attuale, avviare in parallelo, spostare il DNS,
+   spegnere il vecchio servizio.
+4. **Fase 4 (opzionale)**: router in-process con `createAccessiTenantRouter`
+   solo se il costo dei processi diventa un problema e dopo test di leakage
+   dedicati; richiede audit/metriche per istanza, non globali.
+
+## Migrazione
+
+Vedi `docs/multi-tenancy.md` per la procedura operativa completa.

package/docs/import-migration.md

@@ -0,0 +1,65 @@
+# Migrazione agli entry point Accessi
+
+Il root barrel (`emilsoftware-utilities`) e i deep import
+(`emilsoftware-utilities/dist/accessi-module/...`) restano supportati **fino
+alla prossima major**. Da questa minor sono considerati legacy: i consumer
+devono passare agli entry point dichiarati in `package.json#exports`.
+
+## Mappa consigliata
+
+| Uso | Import consigliato | Legacy |
+| --- | --- | --- |
+| Avvio Accessi Service | `emilsoftware-utilities/accessi/server` | root barrel, `dist/accessi-module` |
+| Contratti e helper browser-safe | `emilsoftware-utilities/accessi/contracts` | `dist/accessi-module/Dtos` |
+| DTO Nest con validazione | `emilsoftware-utilities/accessi/contracts/dtos` | `dist/accessi-module/Dtos` |
+| Verifica JWT in un backend fratello | `emilsoftware-utilities/accessi/resource-server` | `dist/accessi-module/...` |
+| Client OpenAPI completo | `emilsoftware-utilities/accessi/client` | root barrel |
+| Client solo API pubbliche | `emilsoftware-utilities/accessi/client/public` | — |
+| Client solo API admin | `emilsoftware-utilities/accessi/client/admin` | — |
+| Client service-to-service | `emilsoftware-utilities/accessi/client/service` | — |
+| OpenAPI merge/setup | `emilsoftware-utilities/accessi/openapi` | root barrel |
+| URL console e ticket | `emilsoftware-utilities/accessi/console` | root barrel |
+| Asset UI frameworkless | `emilsoftware-utilities/accessi/ui` | — |
+
+```ts
+// Corretto
+import { initializeAccessiModule } from 'emilsoftware-utilities/accessi/server';
+import { createAccessiTokenVerifier } from 'emilsoftware-utilities/accessi/resource-server';
+import { login } from 'emilsoftware-utilities/accessi/client/public';
+
+// Legacy: continua a funzionare, ma verra rimosso in una major
+import { initializeAccessiModule } from 'emilsoftware-utilities';
+```
+
+## Perché
+
+- Il root barrel importa NestJS, modulo Accessi, Allegati, OpenAPI e utility:
+  un frontend che importa un solo helper paga tutto il grafo.
+- Gli scope `client/public`, `client/admin` e `client/service` impediscono che
+  un bundle pubblico includa operazioni amministrative o service token.
+- `accessi/contracts` è browser-safe: non trascina database, SMTP o Nest.
+- Gli entry point sono parte del contratto del pacchetto: i deep import non lo
+  sono e possono cambiare layout in una minor.
+
+## Piano
+
+1. **Ora**: nuovi consumer usano gli entry point; il root barrel e i deep import
+   funzionano senza warning runtime.
+2. **Prossima major**: il root barrel Accessi verrà ridotto ai soli simboli non
+   Accessi (Logger, Orm, Utilities, ...). I deep import non saranno più
+   supportati.
+3. **Dopo la major**: eventuale split in pacchetti separati, secondo
+   `docs/adr/0001-split-package.md`.
+
+Nessuna rimozione avviene in una minor: i consumer hanno almeno un ciclo di
+rilascio per migrare.
+
+## Verifica
+
+```bash
+npm run test:pack   # importa il tarball pubblicato e i subpath
+```
+
+Il test `test/import-entrypoints.cjs` carica ogni entry point consigliato,
+verifica i simboli principali e controlla che ogni subpath sia dichiarato in
+`package.json#exports`.

package/docs/multi-tenancy.md

@@ -0,0 +1,305 @@
+# Multi-tenancy operativa
+
+Accessi supporta più tenant con **un database per tenant** e un processo di
+servizio per tenant. La configurazione sta in una cartella di file `.env`; la
+decisione architetturale è in `docs/adr/0002-multi-tenancy.md`.
+
+## Layout
+
+```
+tenants/
+  acme.env
+  beta.env
+```
+
+`acme.env`:
+
+```dotenv
+ACCESSI_TENANT_HOSTS=accessi.acme.example.com,*.acme.example.com
+ACCESSI_TENANT_PATH=/acme
+ACCESSI_TENANT_PORT=3201
+ACCESSI_TENANT_ENABLED=true
+
+ACCESSI_DB_HOST=db-acme
+ACCESSI_DB_PORT=3050
+ACCESSI_DB_DATABASE=/data/acme.fdb
+ACCESSI_DB_USER=SYSDBA
+ACCESSI_DB_PASSWORD=...
+
+ACCESSI_PUBLIC_BASE_URL=https://accessi.acme.example.com
+ACCESSI_CONFIRMATION_EMAIL_URL=https://accessi.acme.example.com
+ACCESSI_CONFIRMATION_RETURN_EMAIL_URL=https://accessi.acme.example.com
+
+ACCESSI_JWT_ALGORITHM=RS256
+ACCESSI_JWT_PRIVATE_KEY="-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----"
+ACCESSI_JWT_PUBLIC_KEY="-----BEGIN PUBLIC KEY-----\n...\n-----END PUBLIC KEY-----"
+ACCESSI_JWT_KEY_ID=acme-2026-10
+ACCESSI_JWT_ISSUER=https://accessi.acme.example.com
+ACCESSI_JWT_AUDIENCE=accessi-api
+ACCESSI_JWT_EXPIRES=1h
+ACCESSI_JWT_REFRESH_EXPIRES=30d
+
+ACCESSI_ENCRYPTION_KEY=...32+ caratteri casuali...
+ACCESSI_EMAIL_HOST=smtp.acme.example.com
+ACCESSI_EMAIL_USER=...
+ACCESSI_EMAIL_PASSWORD=...
+ACCESSI_EMAIL_FROM=noreply@acme.example.com
+```
+
+Regole:
+
+- `ACCESSI_TENANT_ID` è opzionale: se assente vale il nome del file.
+- Almeno uno tra `ACCESSI_TENANT_HOSTS` e `ACCESSI_TENANT_PATH`.
+- `ACCESSI_TENANT_HOSTS` accetta più host separati da virgola e wildcard
+  `*.example.com`.
+- `ACCESSI_TENANT_PATH` è un prefisso (`/acme`), non un host.
+- Ogni tenant deve avere chiave JWT e database propri. La validazione blocca
+  chiavi condivise: un token di un tenant non deve essere accettato da un altro.
+- I file contengono segreti: non committarli. Permessi `0600`, secret manager o
+  volumi montati a runtime.
+
+## Validazione
+
+```bash
+npm run accessi:tenants -- --dir ./tenants --check
+npm run accessi:tenants -- --dir ./tenants --list
+npm run accessi:tenants -- --dir ./tenants --resolve accessi.acme.example.com /api/accessi
+```
+
+`--check` esce con codice 1 e stampa tutti gli errori (file, variabile,
+duplicati, chiavi condivise). `--list` stampa un summary **senza segreti**:
+host, path, database, issuer, audience, algoritmo e porta.
+
+La validazione avviene prima di aprire qualsiasi connessione: un tenant rotto
+non deve avviarsi a metà.
+
+## Avvio
+
+### Supervisore incluso
+
+```bash
+npm run accessi:tenants -- --dir ./tenants --serve --base-port 3200
+```
+
+Avvia un processo figlio per ogni tenant abilitato:
+
+- `ACCESSI_TENANT_PORT` se presente, altrimenti `base-port + indice`;
+- passa `PORT`, `ACCESSI_TENANT_ID` e tutte le variabili del file;
+- inoltra `SIGTERM`/`SIGINT` e termina i figli dopo 10 secondi;
+- non riavvia automaticamente un figlio: un loop su configurazione rotta è
+  peggio di un processo che resta giù; usare systemd/docker/Kubernetes.
+
+Il supervisore legge la cartella all'avvio: **aggiungere o rimuovere un tenant
+richiede un riavvio**. Non c'è hot reload (Nest non smonta moduli a caldo).
+
+### systemd (consigliato in produzione)
+
+Un'unità template, una istanza per tenant:
+
+```ini
+# /etc/systemd/system/accessi@.service
+[Unit]
+Description=Accessi Service tenant %i
+After=network-online.target
+
+[Service]
+Type=simple
+WorkingDirectory=/opt/accessi
+EnvironmentFile=/etc/accessi/tenants/%i.env
+Environment=PORT=%i
+# assegnare una porta per tenant in un drop-in o in un file separato
+ExecStart=/usr/bin/node dist/scripts/startAccessiService.js
+Restart=on-failure
+RestartSec=5
+User=accessi
+Group=accessi
+NoNewPrivileges=true
+PrivateTmp=true
+ProtectSystem=strict
+ReadWritePaths=/var/lib/accessi
+
+[Install]
+WantedBy=multi-user.target
+```
+
+Con `PORT` derivato dal nome istanza non è possibile: usare un file
+`/etc/accessi/ports/%i` o un drop-in `Environment=PORT=3201`. In alternativa
+lasciare che il supervisore includa gestisca le porte.
+
+### Docker Compose
+
+```yaml
+services:
+  accessi-acme:
+    image: emilsoftware/accessi:2
+    env_file: ./tenants/acme.env
+    environment:
+      PORT: "3201"
+      ACCESSI_TENANT_ID: acme
+    volumes:
+      - ./secrets/acme:/run/secrets:ro
+    ports:
+      - "127.0.0.1:3201:3201"
+
+  accessi-beta:
+    image: emilsoftware/accessi:2
+    env_file: ./tenants/beta.env
+    environment:
+      PORT: "3202"
+      ACCESSI_TENANT_ID: beta
+    ports:
+      - "127.0.0.1:3202:3202"
+```
+
+## Reverse proxy
+
+Il proxy instrada per host o path e **sovrascrive** l'header tenant se lo usa.
+Non fidarsi di un header inviato dal client.
+
+### Nginx (host)
+
+```nginx
+map $host $accessi_upstream {
+    accessi.acme.example.com  http://127.0.0.1:3201;
+    accessi.beta.example.com  http://127.0.0.1:3202;
+    default                   http://127.0.0.1:3201; # o 444
+}
+
+server {
+    listen 443 ssl http2;
+    server_name accessi.acme.example.com accessi.beta.example.com;
+    location / {
+        proxy_pass $accessi_upstream;
+        proxy_set_header Host $host;
+        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+        proxy_set_header X-Forwarded-Proto $scheme;
+    }
+}
+```
+
+### Traefik (host)
+
+```yaml
+http:
+  routers:
+    acme:
+      rule: Host(`accessi.acme.example.com`)
+      service: acme
+    beta:
+      rule: Host(`accessi.beta.example.com`)
+      service: beta
+  services:
+    acme:
+      loadBalancer:
+        servers:
+          - url: http://127.0.0.1:3201
+    beta:
+      loadBalancer:
+        servers:
+          - url: http://127.0.0.1:3202
+```
+
+### Path
+
+Con `ACCESSI_TENANT_PATH=/acme`, il proxy deve rimuovere il prefisso prima di
+inoltrare (Accessi non lo conosce) oppure il tenant deve essere servito alla
+radice. Esempio Nginx:
+
+```nginx
+location /acme/ {
+    rewrite ^/acme/(.*)$ /$1 break;
+    proxy_pass http://127.0.0.1:3201;
+}
+```
+
+Se si usa la risoluzione via header, impostarlo solo nel proxy:
+
+```nginx
+proxy_set_header X-Accessi-Tenant acme;
+```
+
+e avviare Accessi con `allowHeader: true` solo nel router che si fida del proxy.
+
+## Store Redis condivisi
+
+Con Redis condiviso ogni tenant deve avere un prefisso distinto. Nel codice che
+costruisce gli store:
+
+```ts
+const prefix = getAccessiTenantRedisPrefix(tenant.id); // accessi:acme:
+const options: AccessiOptions = {
+  ...tenant.options,
+  publicAuthRateLimit: {
+    store: createRedisRateLimitStore({ client, keyPrefix: `${prefix}rate:` }),
+  },
+  sessionRevocation: {
+    store: createRedisSessionRevocationStore({ client, keyPrefix: `${prefix}session:` }),
+  },
+  refreshTokenRotation: {
+    store: createRedisRefreshTokenRotationStore({ client, keyPrefix: `${prefix}refresh:` }),
+    enabled: true,
+  },
+  accessTokenRevocation: {
+    store: createRedisAccessTokenRevocationStore({ client, keyPrefix: `${prefix}jti:` }),
+  },
+};
+```
+
+Senza prefisso due tenant condividerebbero rate limit, revoche e refresh: è un
+leakage. La validazione non può verificarlo (gli store sono codice host), quindi
+va testato.
+
+## Metriche e audit
+
+- Ogni processo espone `/health/metrics` sulla propria porta: Prometheus può
+  scrapare per tenant oppure usare un label `tenant` aggiunto dai child process.
+- `countAccessiMetric` aggiunge `tenant` quando `options.tenantId` è presente.
+- `audit.tenantId` aggiunge `tenant` a ogni record; configurare un sink per
+  tenant o un sink condiviso che conserva il label.
+- Log: includere `ACCESSI_TENANT_ID` nel formato del logger dell'host.
+
+## Aggiungere, rimuovere, ruotare
+
+**Aggiungere un tenant**
+
+1. Creare `tenants/<id>.env` con DB e chiavi propri.
+2. `npm run accessi:tenants -- --dir ./tenants --check`.
+3. Creare il database, eseguire le migrazioni (`db:update:accessi`,
+   `db:catalog:accessi`) con l'env del tenant.
+4. Avviare/riavviare il supervisore o l'unità systemd del tenant.
+5. Aggiungere la rotta al proxy e verificare `/health/ready`.
+
+**Rimuovere un tenant**
+
+1. Rimuovere la rotta dal proxy (il traffico si ferma).
+2. Disabilitare `ACCESSI_TENANT_ENABLED=false` e riavviare.
+3. Conservare database e backup secondo la retention; solo dopo eliminare il
+   file `.env` e i segreti.
+
+**Ruotare le chiavi**
+
+Ogni tenant ha la propria rotazione (`docs/jwt-key-rotation.md`). Non copiare
+chiavi tra tenant; la validazione blocca chiavi JWT condivise.
+
+## Migrazione da single-tenant
+
+1. Copiare il `.env` attuale in `tenants/<id>.env`; aggiungere
+   `ACCESSI_TENANT_HOSTS`/`ACCESSI_TENANT_PATH` e `ACCESSI_TENANT_ID`.
+2. Validare con `--check`.
+3. Avviare il tenant sulla nuova porta mantenendo il servizio vecchio.
+4. Verificare login, refresh, JWKS, console, health e metriche sul nuovo.
+5. Spostare il DNS/rotta del proxy sul nuovo servizio.
+6. Spegnere il vecchio processo e mantenere il rollback per almeno un ciclo di
+   token (`max(expiresIn, refreshExpiresIn)`).
+
+Il database non cambia: la migrazione è di configurazione e deployment, non di
+schema.
+
+## Limiti
+
+- Un processo per tenant: più RAM, più pool Firebird, più connessioni SMTP.
+- Nessun hot reload: aggiunta/rimozione richiede restart.
+- Migrazioni e backup per database.
+- La risoluzione via header è ammessa solo dietro proxy fidato; il client non
+  deve poter scegliere il tenant.
+- Un tenant con path `/` senza host non può convivere con altri (validazione).

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "emilsoftware-utilities",
-  "version": "2.0.0-dev.79",
+  "version": "2.0.0-dev.80",
   "description": "Utilities for EmilSoftware",
   "main": "dist/index.js",
   "module": "dist/index.js",
@@ -131,6 +131,7 @@
     "db:update:accessi:dist": "npm run build && node dist/accessi-module/database-updates/runAccessiDbUpdate.js",
     "accessi:serve": "ts-node src/scripts/startAccessiService.ts",
     "accessi:serve:dist": "node dist/scripts/startAccessiService.js",
+    "accessi:tenants": "node scripts/accessi-tenants.cjs",
     "accessi:generate-jwt-keys": "node scripts/generate-accessi-jwt-keys.cjs",
     "accessi:rotate-jwt-keys": "node scripts/rotate-accessi-jwt-keys.cjs",
     "db:catalog:accessi": "ts-node src/accessi-module/database-updates/runAccessiCatalogMigrations.ts",
@@ -139,8 +140,8 @@
     "typecheck": "tsc --noEmit",
     "lint": "node scripts/lint.cjs",
     "test": "npm run typecheck && npm run lint && npm run test:unit",
-    "test:unit": "node --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs test/auth-cookies.cjs test/metrics.cjs test/audit.cjs",
-    "test:coverage": "node --experimental-test-coverage --test-coverage-lines=50 --test-coverage-functions=60 --test-coverage-branches=60 --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs test/auth-cookies.cjs test/metrics.cjs test/audit.cjs",
+    "test:unit": "node --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs test/auth-cookies.cjs test/metrics.cjs test/audit.cjs test/import-entrypoints.cjs test/tenants.cjs",
+    "test:coverage": "node --experimental-test-coverage --test-coverage-lines=50 --test-coverage-functions=60 --test-coverage-branches=60 --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs test/auth-cookies.cjs test/metrics.cjs test/audit.cjs test/import-entrypoints.cjs test/tenants.cjs",
     "test:accessi": "npm run test:unit",
     "test:all": "npm test && npm run test:integration && npm run test:integration:redis",
     "test:integration": "node test/integration/run-firebird.cjs 5",