emilsoftware-utilities 2.0.0-dev.80 → 2.0.0-dev.81

package/dist/scripts/startAccessiTenantService.d.ts

@@ -0,0 +1 @@
+export {};

package/dist/scripts/startAccessiTenantService.js

@@ -0,0 +1,35 @@
+"use strict";
+var _a, _b;
+Object.defineProperty(exports, "__esModule", { value: true });
+const server_1 = require("../accessi/server");
+const Logger_1 = require("../Logger");
+/**
+ * Avvia Accessi per un singolo tenant.
+ *
+ * `ACCESSI_TENANT_ENVIRONMENT` punta al file `*.environment.ts`; `PORT` e la
+ * porta interna assegnata dal supervisore o dal proxy.
+ */
+const logger = new Logger_1.Logger('startAccessiTenantService');
+const environmentFile = process.env.ACCESSI_TENANT_ENVIRONMENT;
+if (!environmentFile) {
+    logger.error('ACCESSI_TENANT_ENVIRONMENT non impostata.');
+    process.exitCode = 1;
+}
+else {
+    try {
+        const { tenant } = (0, server_1.loadAccessiTenantEnvironmentFile)(environmentFile);
+        const port = Number((_b = (_a = process.env.PORT) !== null && _a !== void 0 ? _a : tenant.port) !== null && _b !== void 0 ? _b : 3200);
+        logger.info(`Avvio tenant ${tenant.id} sulla porta ${port}.`);
+        void (0, server_1.startAccessiService)({ accessiOptions: tenant.options, port }).catch((error) => {
+            logger.error(`Avvio tenant ${tenant.id} fallito:`, error instanceof Error
+                ? { name: error.name, message: error.message, stack: error.stack }
+                : { error: String(error) });
+            process.exitCode = 1;
+        });
+    }
+    catch (error) {
+        logger.error('Configurazione tenant non valida:', error instanceof Error ? { message: error.message } : { error: String(error) });
+        process.exitCode = 1;
+    }
+}
+//# sourceMappingURL=startAccessiTenantService.js.map

package/dist/scripts/startAccessiTenantService.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"startAccessiTenantService.js","sourceRoot":"","sources":["../../src/scripts/startAccessiTenantService.ts"],"names":[],"mappings":";;;AAAA,8CAA0F;AAC1F,sCAAmC;AAEnC;;;;;GAKG;AACH,MAAM,MAAM,GAAG,IAAI,eAAM,CAAC,2BAA2B,CAAC,CAAC;AACvD,MAAM,eAAe,GAAG,OAAO,CAAC,GAAG,CAAC,0BAA0B,CAAC;AAE/D,IAAI,CAAC,eAAe,EAAE,CAAC;IACrB,MAAM,CAAC,KAAK,CAAC,2CAA2C,CAAC,CAAC;IAC1D,OAAO,CAAC,QAAQ,GAAG,CAAC,CAAC;AACvB,CAAC;KAAM,CAAC;IACN,IAAI,CAAC;QACH,MAAM,EAAE,MAAM,EAAE,GAAG,IAAA,yCAAgC,EAAC,eAAe,CAAC,CAAC;QACrE,MAAM,IAAI,GAAG,MAAM,CAAC,MAAA,MAAA,OAAO,CAAC,GAAG,CAAC,IAAI,mCAAI,MAAM,CAAC,IAAI,mCAAI,IAAI,CAAC,CAAC;QAC7D,MAAM,CAAC,IAAI,CAAC,gBAAgB,MAAM,CAAC,EAAE,gBAAgB,IAAI,GAAG,CAAC,CAAC;QAC9D,KAAK,IAAA,4BAAmB,EAAC,EAAE,cAAc,EAAE,MAAM,CAAC,OAAO,EAAE,IAAI,EAAE,CAAC,CAAC,KAAK,CAAC,CAAC,KAAc,EAAE,EAAE;YAC1F,MAAM,CAAC,KAAK,CACV,gBAAgB,MAAM,CAAC,EAAE,WAAW,EACpC,KAAK,YAAY,KAAK;gBACpB,CAAC,CAAC,EAAE,IAAI,EAAE,KAAK,CAAC,IAAI,EAAE,OAAO,EAAE,KAAK,CAAC,OAAO,EAAE,KAAK,EAAE,KAAK,CAAC,KAAK,EAAE;gBAClE,CAAC,CAAC,EAAE,KAAK,EAAE,MAAM,CAAC,KAAK,CAAC,EAAE,CAC7B,CAAC;YACF,OAAO,CAAC,QAAQ,GAAG,CAAC,CAAC;QACvB,CAAC,CAAC,CAAC;IACL,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QACf,MAAM,CAAC,KAAK,CACV,mCAAmC,EACnC,KAAK,YAAY,KAAK,CAAC,CAAC,CAAC,EAAE,OAAO,EAAE,KAAK,CAAC,OAAO,EAAE,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,MAAM,CAAC,KAAK,CAAC,EAAE,CAC/E,CAAC;QACF,OAAO,CAAC,QAAQ,GAAG,CAAC,CAAC;IACvB,CAAC;AACH,CAAC","sourcesContent":["import { startAccessiService, loadAccessiTenantEnvironmentFile } from '../accessi/server';\nimport { Logger } from '../Logger';\n\n/**\n * Avvia Accessi per un singolo tenant.\n *\n * `ACCESSI_TENANT_ENVIRONMENT` punta al file `*.environment.ts`; `PORT` e la\n * porta interna assegnata dal supervisore o dal proxy.\n */\nconst logger = new Logger('startAccessiTenantService');\nconst environmentFile = process.env.ACCESSI_TENANT_ENVIRONMENT;\n\nif (!environmentFile) {\n  logger.error('ACCESSI_TENANT_ENVIRONMENT non impostata.');\n  process.exitCode = 1;\n} else {\n  try {\n    const { tenant } = loadAccessiTenantEnvironmentFile(environmentFile);\n    const port = Number(process.env.PORT ?? tenant.port ?? 3200);\n    logger.info(`Avvio tenant ${tenant.id} sulla porta ${port}.`);\n    void startAccessiService({ accessiOptions: tenant.options, port }).catch((error: unknown) => {\n      logger.error(\n        `Avvio tenant ${tenant.id} fallito:`,\n        error instanceof Error\n          ? { name: error.name, message: error.message, stack: error.stack }\n          : { error: String(error) },\n      );\n      process.exitCode = 1;\n    });\n  } catch (error) {\n    logger.error(\n      'Configurazione tenant non valida:',\n      error instanceof Error ? { message: error.message } : { error: String(error) },\n    );\n    process.exitCode = 1;\n  }\n}\n"]}

package/docs/adr/0002-multi-tenancy.md

@@ -28,31 +28,64 @@ schema.** Un tenant è una cartella di configurazione:
 
 ```
 tenants/
-  acme.env
-  beta.env
+  acme.environment.ts
+  beta.environment.ts
 ```
 
-Ogni file contiene le normali variabili `ACCESSI_*` già lette da
-`createAccessiOptionsFromEnv`, più un manifest minimo:
-
-```dotenv
-ACCESSI_TENANT_HOSTS=accessi.acme.example.com,*.acme.example.com
-ACCESSI_TENANT_PATH=/acme
-ACCESSI_TENANT_PORT=3201
-ACCESSI_TENANT_ENABLED=true
-
-ACCESSI_DB_HOST=db-acme
-ACCESSI_DB_DATABASE=/data/acme.fdb
-ACCESSI_JWT_ISSUER=https://accessi.acme.example.com
-ACCESSI_JWT_AUDIENCE=accessi-api
-ACCESSI_JWT_SECRET=...
-ACCESSI_ENCRYPTION_KEY=...
+Ogni file esporta un oggetto tipizzato `AccessiTenantEnvironment`; i segreti
+possono essere letti da `process.env` o dal secret manager:
+
+```ts
+import type { AccessiTenantEnvironment } from 'emilsoftware-utilities/accessi/server';
+import { defineAccessiTenantEnvironment } from 'emilsoftware-utilities/accessi/server';
+
+export default defineAccessiTenantEnvironment({
+  tenant: {
+    id: 'acme',
+    hosts: ['accessi.acme.example.com', '*.acme.example.com'],
+    path: '/acme',
+    port: 3201,
+    enabled: true,
+  },
+  database: {
+    host: 'db-acme',
+    database: '/data/acme.fdb',
+    user: process.env.ACME_DB_USER ?? 'SYSDBA',
+    password: process.env.ACME_DB_PASSWORD!,
+  },
+  jwt: {
+    secret: process.env.ACME_JWT_SECRET!,
+    expiresIn: '1h',
+    refreshExpiresIn: '30d',
+    issuer: 'https://accessi.acme.example.com',
+    audience: 'accessi-api',
+  },
+  email: {
+    host: process.env.ACME_SMTP_HOST!,
+    port: 587,
+    secure: false,
+    requireTLS: true,
+    tls: { rejectUnauthorized: true },
+    from: 'noreply@acme.example.com',
+    auth: { user: process.env.ACME_SMTP_USER!, pass: process.env.ACME_SMTP_PASSWORD! },
+  },
+  encryptionKey: process.env.ACME_ENCRYPTION_KEY!,
+  confirmationEmailUrl: 'https://accessi.acme.example.com',
+  confirmationEmailReturnUrl: 'https://accessi.acme.example.com',
+} satisfies AccessiTenantEnvironment);
 ```
 
-`loadAccessiTenants({ directory })` valida l'intera cartella prima di avviare
-qualsiasi cosa:
+`defineAccessiTenantEnvironment` è solo un helper di tipizzazione: non esegue
+logica. Il loader usa jiti per eseguire il TypeScript anche nel pacchetto
+compilato, quindi non serve compilare i file tenant separatamente.
+
+Campi runtime come `store`, `sink`, `match`, `onDocument` e `logger` sono
+volutamente esclusi dal tipo: vanno collegati dal backend ospitante. Il file
+tenant descrive solo configurazione serializzabile.
+
+La validazione controlla:
 
-- `ACCESSI_TENANT_ID` (o nome file) univoco, minuscole/numeri/`-`/`_`;
+- `tenant.id` (o nome file) univoco, minuscole/numeri/`-`/`_`;
 - almeno host o path; host e path non duplicati;
 - chiave JWT distinta per tenant (un token non deve valere su due tenant);
 - issuer/audience condivisi producono un warning;
@@ -73,8 +106,8 @@ dal router, non servita dal "primo" tenant.
 
 Ogni tenant gira in un **processo Accessi separato** con il proprio environment,
 database, pool, chiavi, store Redis e logger. Il supervisore
-`node scripts/accessi-tenants.cjs --serve` avvia un figlio per ogni file `.env`
-abilitato e passa `PORT`, `ACCESSI_TENANT_ID` e le variabili del file.
+`node scripts/accessi-tenants.cjs --serve` avvia un figlio per ogni file `.environment.ts`
+abilitato e passa `PORT`, `ACCESSI_TENANT_ENVIRONMENT` (path assoluto) e `ACCESSI_TENANT_ID`.
 
 Questo evita di condividere:
 
@@ -86,16 +119,11 @@ Questo evita di condividere:
 ### Store condivisi
 
 Se più tenant condividono lo stesso Redis, ogni store deve usare un prefisso
-diverso:
-
-```ts
-const prefix = getAccessiTenantRedisPrefix('acme'); // accessi:acme:
-createRedisRateLimitStore({ client, keyPrefix: `${prefix}rate:` });
-createRedisSessionRevocationStore({ client, keyPrefix: `${prefix}session:` });
-```
-
-La configurazione del tenant espone `options.tenantId`, utile per comporre i
-prefissi e per le etichette di metriche e audit.
+diverso. `createAccessiTenantStores({ tenantId, client, encryptionKey })` crea
+rate limit, revoche, refresh rotation e ticket console con prefissi
+`accessi:<tenantId>:` e li collega con `applyTo(options)`. I prefissi restano
+personalizzabili con `prefix`/`prefixes`, ma non devono mai coincidere tra
+tenant.
 
 ### Osservabilità
 
@@ -116,7 +144,7 @@ prefissi e per le etichette di metriche e audit.
 | Schema per tenant | Firebird non offre schema/search_path; sarebbe un database separato con altro nome. |
 | Due `AccessiModule` nello stesso processo | La configurazione Nest è globale; audit/metriche/logger condividono stato. |
 | Selezione tenant da header non fidato | Permetterebbe a un client di cambiare tenant e tentare leakage; consentito solo dietro proxy che sovrascrive l'header. |
-| Hot reload dei file `.env` | Nest non smonta moduli a caldo; il riavvio del supervisore è più semplice e sicuro. |
+| Hot reload dei file `.environment.ts` | Nest non smonta moduli a caldo; il riavvio del supervisore è più semplice e sicuro. |
 
 ## Conseguenze
 
@@ -124,7 +152,7 @@ Positive:
 
 - isolamento forte: database, chiavi e processi separati;
 - nessuna migrazione dello schema esistente;
-- aggiunta tenant = nuovo file `.env` + riavvio del supervisore;
+- aggiunta tenant = nuovo file `.environment.ts` + riavvio del supervisore;
 - rollback per tenant indipendente.
 
 Negative:
@@ -143,7 +171,7 @@ Negative:
 2. **Fase 2**: template systemd/docker e reverse proxy host/path; health check
    per tenant nel supervisore.
 3. **Fase 3**: migrazione del deployment single-tenant esistente: creare
-   `tenants/<id>.env` dal `.env` attuale, avviare in parallelo, spostare il DNS,
+   `tenants/<id>.environment.ts` dalla configurazione attuale, avviare in parallelo, spostare il DNS,
    spegnere il vecchio servizio.
 4. **Fase 4 (opzionale)**: router in-process con `createAccessiTenantRouter`
    solo se il costo dei processi diventa un problema e dopo test di leakage

package/docs/multi-tenancy.md

@@ -1,62 +1,98 @@
 # Multi-tenancy operativa
 
 Accessi supporta più tenant con **un database per tenant** e un processo di
-servizio per tenant. La configurazione sta in una cartella di file `.env`; la
-decisione architetturale è in `docs/adr/0002-multi-tenancy.md`.
+servizio per tenant. La configurazione sta in una cartella di file
+`*.environment.ts` tipizzati; la decisione architetturale è in
+`docs/adr/0002-multi-tenancy.md`.
 
 ## Layout
 
 ```
 tenants/
-  acme.env
-  beta.env
+  acme.environment.ts
+  beta.environment.ts
 ```
 
-`acme.env`:
-
-```dotenv
-ACCESSI_TENANT_HOSTS=accessi.acme.example.com,*.acme.example.com
-ACCESSI_TENANT_PATH=/acme
-ACCESSI_TENANT_PORT=3201
-ACCESSI_TENANT_ENABLED=true
-
-ACCESSI_DB_HOST=db-acme
-ACCESSI_DB_PORT=3050
-ACCESSI_DB_DATABASE=/data/acme.fdb
-ACCESSI_DB_USER=SYSDBA
-ACCESSI_DB_PASSWORD=...
-
-ACCESSI_PUBLIC_BASE_URL=https://accessi.acme.example.com
-ACCESSI_CONFIRMATION_EMAIL_URL=https://accessi.acme.example.com
-ACCESSI_CONFIRMATION_RETURN_EMAIL_URL=https://accessi.acme.example.com
-
-ACCESSI_JWT_ALGORITHM=RS256
-ACCESSI_JWT_PRIVATE_KEY="-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----"
-ACCESSI_JWT_PUBLIC_KEY="-----BEGIN PUBLIC KEY-----\n...\n-----END PUBLIC KEY-----"
-ACCESSI_JWT_KEY_ID=acme-2026-10
-ACCESSI_JWT_ISSUER=https://accessi.acme.example.com
-ACCESSI_JWT_AUDIENCE=accessi-api
-ACCESSI_JWT_EXPIRES=1h
-ACCESSI_JWT_REFRESH_EXPIRES=30d
-
-ACCESSI_ENCRYPTION_KEY=...32+ caratteri casuali...
-ACCESSI_EMAIL_HOST=smtp.acme.example.com
-ACCESSI_EMAIL_USER=...
-ACCESSI_EMAIL_PASSWORD=...
-ACCESSI_EMAIL_FROM=noreply@acme.example.com
+`acme.environment.ts`:
+
+```ts
+import type { AccessiTenantEnvironment } from 'emilsoftware-utilities/accessi/server';
+import { defineAccessiTenantEnvironment } from 'emilsoftware-utilities/accessi/server';
+
+export default defineAccessiTenantEnvironment({
+  tenant: {
+    id: 'acme',
+    hosts: ['accessi.acme.example.com', '*.acme.example.com'],
+    path: '/acme',
+    port: 3201,
+    enabled: true,
+    description: 'Tenant ACME',
+  },
+
+  database: {
+    host: 'db-acme',
+    port: 3050,
+    database: '/data/acme.fdb',
+    user: 'SYSDBA',
+    password: process.env.ACME_DB_PASSWORD!,
+  },
+
+  jwt: {
+    algorithm: 'RS256',
+    secret: process.env.ACME_JWT_SECRET!,
+    privateKey: process.env.ACME_JWT_PRIVATE_KEY!,
+    publicKey: process.env.ACME_JWT_PUBLIC_KEY!,
+    keyId: 'acme-2026-10',
+    issuer: 'https://accessi.acme.example.com',
+    audience: 'accessi-api',
+    expiresIn: '1h',
+    refreshExpiresIn: '30d',
+  },
+
+  email: {
+    host: process.env.ACME_SMTP_HOST!,
+    port: 587,
+    secure: false,
+    requireTLS: true,
+    tls: { rejectUnauthorized: true },
+    from: 'noreply@acme.example.com',
+    auth: {
+      user: process.env.ACME_SMTP_USER!,
+      pass: process.env.ACME_SMTP_PASSWORD!,
+    },
+  },
+
+  encryptionKey: process.env.ACME_ENCRYPTION_KEY!,
+  confirmationEmailUrl: 'https://accessi.acme.example.com',
+  confirmationEmailReturnUrl: 'https://accessi.acme.example.com',
+  publicBaseUrl: 'https://accessi.acme.example.com',
+
+  // Opzionali, tutti tipizzati da AccessiTenantEnvironment:
+  http: { trustProxy: 1 },
+  authCookie: { enabled: true, secure: true, sameSite: 'lax' },
+  publicAuthRateLimit: { login: { windowMs: 900_000, maxAttempts: 10 } },
+  metrics: { enabled: true, prefix: 'accessi' },
+  audit: { retentionDays: 90, logger: true },
+} satisfies AccessiTenantEnvironment);
 ```
 
 Regole:
 
-- `ACCESSI_TENANT_ID` è opzionale: se assente vale il nome del file.
-- Almeno uno tra `ACCESSI_TENANT_HOSTS` e `ACCESSI_TENANT_PATH`.
-- `ACCESSI_TENANT_HOSTS` accetta più host separati da virgola e wildcard
-  `*.example.com`.
-- `ACCESSI_TENANT_PATH` è un prefisso (`/acme`), non un host.
-- Ogni tenant deve avere chiave JWT e database propri. La validazione blocca
-  chiavi condivise: un token di un tenant non deve essere accettato da un altro.
-- I file contengono segreti: non committarli. Permessi `0600`, secret manager o
-  volumi montati a runtime.
+- `tenant.id` è obbligatorio (minuscole, numeri, `-`, `_`, max 63). Non serve
+  derivarlo dal nome file, ma dovrebbe coincidere per leggibilità.
+- Almeno uno tra `tenant.hosts` e `tenant.path`.
+- `tenant.hosts` accetta host esatti e wildcard `*.example.com`.
+- `tenant.path` è un prefisso (`/acme`), non un host.
+- Ogni tenant deve avere database, chiave JWT e `encryptionKey` propri. La
+  validazione blocca chiavi JWT condivise: un token di un tenant non deve essere
+  accettato da un altro.
+- I segreti vanno letti da `process.env` o dal secret manager: il file
+  `.environment.ts` può essere versionato senza contenere credenziali.
+- `store`, `sink`, `match`, `onDocument` e `logger` non sono nel tipo: sono
+  oggetti runtime e vanno collegati dal backend ospitante.
+
+Il loader usa **jiti** per eseguire TypeScript anche dal pacchetto compilato:
+non serve compilare i file tenant separatamente.
 
 ## Validazione
 
@@ -66,9 +102,9 @@ npm run accessi:tenants -- --dir ./tenants --list
 npm run accessi:tenants -- --dir ./tenants --resolve accessi.acme.example.com /api/accessi
 ```
 
-`--check` esce con codice 1 e stampa tutti gli errori (file, variabile,
-duplicati, chiavi condivise). `--list` stampa un summary **senza segreti**:
-host, path, database, issuer, audience, algoritmo e porta.
+`--check` esce con codice 1 e stampa tutti gli errori (file, campo, duplicati,
+chiavi condivise). `--list` stampa un summary **senza segreti**: host, path,
+database, issuer, audience, algoritmo e porta.
 
 La validazione avviene prima di aprire qualsiasi connessione: un tenant rotto
 non deve avviarsi a metà.
@@ -83,8 +119,9 @@ npm run accessi:tenants -- --dir ./tenants --serve --base-port 3200
 
 Avvia un processo figlio per ogni tenant abilitato:
 
-- `ACCESSI_TENANT_PORT` se presente, altrimenti `base-port + indice`;
-- passa `PORT`, `ACCESSI_TENANT_ID` e tutte le variabili del file;
+- `tenant.port` se presente, altrimenti `base-port + indice`;
+- passa `PORT`, `ACCESSI_TENANT_ENVIRONMENT` (path assoluto del file) e
+  `ACCESSI_TENANT_ID`;
 - inoltra `SIGTERM`/`SIGINT` e termina i figli dopo 10 secondi;
 - non riavvia automaticamente un figlio: un loop su configurazione rotta è
   peggio di un processo che resta giù; usare systemd/docker/Kubernetes.
@@ -94,8 +131,6 @@ richiede un riavvio**. Non c'è hot reload (Nest non smonta moduli a caldo).
 
 ### systemd (consigliato in produzione)
 
-Un'unità template, una istanza per tenant:
-
 ```ini
 # /etc/systemd/system/accessi@.service
 [Unit]
@@ -105,10 +140,10 @@ After=network-online.target
 [Service]
 Type=simple
 WorkingDirectory=/opt/accessi
-EnvironmentFile=/etc/accessi/tenants/%i.env
-Environment=PORT=%i
-# assegnare una porta per tenant in un drop-in o in un file separato
-ExecStart=/usr/bin/node dist/scripts/startAccessiService.js
+EnvironmentFile=/etc/accessi/%i.secrets
+Environment=ACCESSI_TENANT_ENVIRONMENT=/etc/accessi/tenants/%i.environment.ts
+Environment=PORT=3201
+ExecStart=/usr/bin/node dist/scripts/startAccessiTenantService.js
 Restart=on-failure
 RestartSec=5
 User=accessi
@@ -122,9 +157,8 @@ ReadWritePaths=/var/lib/accessi
 WantedBy=multi-user.target
 ```
 
-Con `PORT` derivato dal nome istanza non è possibile: usare un file
-`/etc/accessi/ports/%i` o un drop-in `Environment=PORT=3201`. In alternativa
-lasciare che il supervisore includa gestisca le porte.
+`EnvironmentFile` contiene solo i segreti (`ACME_DB_PASSWORD`, ...), non il
+manifest: il manifest tipizzato resta nel file `.environment.ts`.
 
 ### Docker Compose
 
@@ -132,23 +166,14 @@ lasciare che il supervisore includa gestisca le porte.
 services:
   accessi-acme:
     image: emilsoftware/accessi:2
-    env_file: ./tenants/acme.env
     environment:
+      ACCESSI_TENANT_ENVIRONMENT: /config/acme.environment.ts
       PORT: "3201"
-      ACCESSI_TENANT_ID: acme
+    env_file: ./secrets/acme.env
     volumes:
-      - ./secrets/acme:/run/secrets:ro
+      - ./tenants:/config:ro
     ports:
       - "127.0.0.1:3201:3201"
-
-  accessi-beta:
-    image: emilsoftware/accessi:2
-    env_file: ./tenants/beta.env
-    environment:
-      PORT: "3202"
-      ACCESSI_TENANT_ID: beta
-    ports:
-      - "127.0.0.1:3202:3202"
 ```
 
 ## Reverse proxy
@@ -162,7 +187,7 @@ Non fidarsi di un header inviato dal client.
 map $host $accessi_upstream {
     accessi.acme.example.com  http://127.0.0.1:3201;
     accessi.beta.example.com  http://127.0.0.1:3202;
-    default                   http://127.0.0.1:3201; # o 444
+    default                   http://127.0.0.1:3201;
 }
 
 server {
@@ -201,9 +226,9 @@ http:
 
 ### Path
 
-Con `ACCESSI_TENANT_PATH=/acme`, il proxy deve rimuovere il prefisso prima di
+Con `tenant.path = '/acme'`, il proxy deve rimuovere il prefisso prima di
 inoltrare (Accessi non lo conosce) oppure il tenant deve essere servito alla
-radice. Esempio Nginx:
+radice:
 
 ```nginx
 location /acme/ {
@@ -218,41 +243,38 @@ Se si usa la risoluzione via header, impostarlo solo nel proxy:
 proxy_set_header X-Accessi-Tenant acme;
 ```
 
-e avviare Accessi con `allowHeader: true` solo nel router che si fida del proxy.
+e avviare il router con `allowHeader: true` solo nel servizio che si fida del
+proxy.
 
 ## Store Redis condivisi
 
-Con Redis condiviso ogni tenant deve avere un prefisso distinto. Nel codice che
-costruisce gli store:
+Con Redis condiviso usare l'helper: crea tutti gli store con prefissi
+`accessi:<tenantId>:` e li collega alle opzioni.
 
 ```ts
-const prefix = getAccessiTenantRedisPrefix(tenant.id); // accessi:acme:
-const options: AccessiOptions = {
-  ...tenant.options,
-  publicAuthRateLimit: {
-    store: createRedisRateLimitStore({ client, keyPrefix: `${prefix}rate:` }),
-  },
-  sessionRevocation: {
-    store: createRedisSessionRevocationStore({ client, keyPrefix: `${prefix}session:` }),
-  },
-  refreshTokenRotation: {
-    store: createRedisRefreshTokenRotationStore({ client, keyPrefix: `${prefix}refresh:` }),
-    enabled: true,
-  },
-  accessTokenRevocation: {
-    store: createRedisAccessTokenRevocationStore({ client, keyPrefix: `${prefix}jti:` }),
-  },
-};
+import { createAccessiTenantStores } from 'emilsoftware-utilities/accessi/server';
+
+const stores = createAccessiTenantStores({
+  tenantId: tenant.id,
+  client: redisClient,
+  encryptionKey: tenant.options.encryptionKey,
+});
+const options: AccessiOptions = stores.applyTo(tenant.options);
 ```
 
+`applyTo` collega `publicAuthRateLimit`, `serviceTokens`,
+`sessionRevocation`, `accessTokenRevocation`, `refreshTokenRotation` e
+`consoleEntry`, preservando le altre opzioni. I prefissi sono disponibili in
+`stores.prefixes`; `getAccessiTenantStorePrefixes(tenantId)` li espone anche
+senza creare gli store.
+
 Senza prefisso due tenant condividerebbero rate limit, revoche e refresh: è un
-leakage. La validazione non può verificarlo (gli store sono codice host), quindi
-va testato.
+leakage. I test di integrazione Redis verificano l'isolamento.
 
 ## Metriche e audit
 
 - Ogni processo espone `/health/metrics` sulla propria porta: Prometheus può
-  scrapare per tenant oppure usare un label `tenant` aggiunto dai child process.
+  scrapare per tenant.
 - `countAccessiMetric` aggiunge `tenant` quando `options.tenantId` è presente.
 - `audit.tenantId` aggiunge `tenant` a ogni record; configurare un sink per
   tenant o un sink condiviso che conserva il label.
@@ -262,19 +284,19 @@ va testato.
 
 **Aggiungere un tenant**
 
-1. Creare `tenants/<id>.env` con DB e chiavi propri.
+1. Creare `tenants/<id>.environment.ts` con DB e chiavi propri.
 2. `npm run accessi:tenants -- --dir ./tenants --check`.
 3. Creare il database, eseguire le migrazioni (`db:update:accessi`,
-   `db:catalog:accessi`) con l'env del tenant.
+   `db:catalog:accessi`) con la configurazione del tenant.
 4. Avviare/riavviare il supervisore o l'unità systemd del tenant.
 5. Aggiungere la rotta al proxy e verificare `/health/ready`.
 
 **Rimuovere un tenant**
 
 1. Rimuovere la rotta dal proxy (il traffico si ferma).
-2. Disabilitare `ACCESSI_TENANT_ENABLED=false` e riavviare.
+2. Impostare `tenant.enabled: false` e riavviare.
 3. Conservare database e backup secondo la retention; solo dopo eliminare il
-   file `.env` e i segreti.
+   file `.environment.ts` e i segreti.
 
 **Ruotare le chiavi**
 
@@ -283,8 +305,8 @@ chiavi tra tenant; la validazione blocca chiavi JWT condivise.
 
 ## Migrazione da single-tenant
 
-1. Copiare il `.env` attuale in `tenants/<id>.env`; aggiungere
-   `ACCESSI_TENANT_HOSTS`/`ACCESSI_TENANT_PATH` e `ACCESSI_TENANT_ID`.
+1. Creare `tenants/<id>.environment.ts` partendo dal `.env` attuale, usando
+   `process.env` per i segreti.
 2. Validare con `--check`.
 3. Avviare il tenant sulla nuova porta mantenendo il servizio vecchio.
 4. Verificare login, refresh, JWKS, console, health e metriche sul nuovo.
@@ -303,3 +325,5 @@ schema.
 - La risoluzione via header è ammessa solo dietro proxy fidato; il client non
   deve poter scegliere il tenant.
 - Un tenant con path `/` senza host non può convivere con altri (validazione).
+- I file `.environment.ts` sono eseguiti: trattarli come codice fidato e non
+  caricarli da input HTTP.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "emilsoftware-utilities",
-  "version": "2.0.0-dev.80",
+  "version": "2.0.0-dev.81",
   "description": "Utilities for EmilSoftware",
   "main": "dist/index.js",
   "module": "dist/index.js",
@@ -140,12 +140,12 @@
     "typecheck": "tsc --noEmit",
     "lint": "node scripts/lint.cjs",
     "test": "npm run typecheck && npm run lint && npm run test:unit",
-    "test:unit": "node --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs test/auth-cookies.cjs test/metrics.cjs test/audit.cjs test/import-entrypoints.cjs test/tenants.cjs",
-    "test:coverage": "node --experimental-test-coverage --test-coverage-lines=50 --test-coverage-functions=60 --test-coverage-branches=60 --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs test/auth-cookies.cjs test/metrics.cjs test/audit.cjs test/import-entrypoints.cjs test/tenants.cjs",
+    "test:unit": "node --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs test/auth-cookies.cjs test/metrics.cjs test/audit.cjs test/import-entrypoints.cjs test/tenants.cjs test/tenant-stores.cjs",
+    "test:coverage": "node --experimental-test-coverage --test-coverage-lines=50 --test-coverage-functions=60 --test-coverage-branches=60 --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs test/auth-cookies.cjs test/metrics.cjs test/audit.cjs test/import-entrypoints.cjs test/tenants.cjs test/tenant-stores.cjs",
     "test:accessi": "npm run test:unit",
     "test:all": "npm test && npm run test:integration && npm run test:integration:redis",
     "test:integration": "node test/integration/run-firebird.cjs 5",
-    "test:integration:redis": "node --test test/integration/redis-stores.integration.cjs",
+    "test:integration:redis": "node --test --test-concurrency=1 test/integration/redis-stores.integration.cjs test/integration/redis-tenant-stores.integration.cjs",
     "test:load:redis": "node --test --test-concurrency=1 test/integration/redis-load.integration.cjs",
     "test:integration:fb5": "node test/integration/run-firebird.cjs 5",
     "test:integration:fb3": "node test/integration/run-firebird.cjs 3",
@@ -187,6 +187,7 @@
     "class-transformer": "^0.5.1",
     "class-validator": "^0.14.1",
     "colorette": "^2.0.20",
+    "jiti": "^2.7.0",
     "jsonwebtoken": "^9.0.2",
     "jspdf": "^3.0.0",
     "jspdf-autotable": "^5.0.2",