emilsoftware-utilities 2.0.0-dev.83 → 2.0.0-dev.85

package/docs/standalone-service.md

@@ -1,30 +1,33 @@
 # Accessi Service standalone
 
-Accessi puo girare come servizio autonomo, senza un backend ospitante.
+Guida per eseguire Accessi come servizio autonomo, senza un backend ospitante.
+È il modello consigliato quando più applicazioni condividono le stesse identità.
+Per il bootstrap dentro un backend esistente vedi
+[quickstart-service.md](quickstart-service.md).
 
 ## Avvio da codice
 
 ```ts
-import { startAccessiService } from "emilsoftware-utilities/accessi/server";
+import { startAccessiService } from 'emilsoftware-utilities/accessi/server';
 
 await startAccessiService({
   port: Number(process.env.PORT ?? 3000),
-  healthPath: "/health",
+  healthPath: '/health',
   metrics: true,
 });
 ```
 
 `startAccessiService`:
 
-- valida `AccessiOptions` con `assertValidAccessiOptions`
-- crea l'app Express
-- monta `/health/live`, `/health/ready`, `/health/metrics`
-- inizializza Accessi
-- avvia il server
-- registra `SIGTERM`/`SIGINT` per lo shutdown graceful
-- chiude Nest e i pool Firebird
+- valida `AccessiOptions` con `assertValidAccessiOptions`;
+- crea l'app Express e monta `/health/live`, `/health/ready`, `/health/metrics`;
+- inizializza Accessi;
+- avvia il server;
+- registra `SIGTERM`/`SIGINT` per lo shutdown graceful;
+- chiude Nest e i pool Firebird.
 
-Per un controllo manuale usare `createAccessiService`, che restituisce `start()` e `stop()`.
+Per un controllo manuale usa `createAccessiService`, che restituisce `start()` e
+`stop()`.
 
 ## Avvio da CLI
 
@@ -33,51 +36,58 @@ npm run accessi:serve
 npm run accessi:serve:dist
 ```
 
-La configurazione viene letta da `createAccessiOptionsFromEnv()`.
+La configurazione viene letta da `createAccessiOptionsFromEnv()`. Le variabili
+principali sono elencate in [quickstart-service.md](quickstart-service.md) e
+nella sezione [variabili d'ambiente](../WIKI.md#deploy-del-servizio).
 
-## Health
+## Health e readiness
 
 ```text
-GET /health/live      -> 200 se il processo e vivo
+GET /health/live      -> 200 se il processo è vivo
 GET /health/ready     -> 200 se DB e store configurati sono pronti
 GET /health/metrics   -> metriche Prometheus testuali
 ```
 
 `/health/ready` controlla:
 
-- bootstrap completato
-- database Accessi raggiungibile e schema inizializzato
-- `healthCheck()` degli store Redis configurati
-- `readinessChecks` aggiuntivi passati dal chiamante
+- bootstrap completato;
+- database Accessi raggiungibile e schema inizializzato;
+- `healthCheck()` degli store Redis configurati;
+- `readinessChecks` aggiuntivi passati dal chiamante.
+
+Non esporre `/health/metrics` su Internet: contiene il dettaglio delle rotte e
+degli errori. Mettilo su rete interna o proteggilo con un reverse proxy.
 
 ### Host Nest con `AccessiModule.forRoot`
 
-Un'app Nest che monta Accessi in-process ottiene gli stessi endpoint con il modulo di health:
+Un'app Nest che monta Accessi in-process ottiene gli stessi endpoint con il
+modulo di health:
 
 ```ts
-import { AccessiModule, createAccessiHealthModule } from "emilsoftware-utilities/accessi/server";
+import { AccessiModule, createAccessiHealthModule } from 'emilsoftware-utilities/accessi/server';
 
 @Module({
   imports: [
     AccessiModule.forRoot(accessiOptions),
     createAccessiHealthModule({
       accessiOptions,
-      readinessChecks: [{ name: "coda", check: async () => queue.isReady() }],
-      path: "/health", // default
+      readinessChecks: [{ name: 'coda', check: async () => queue.isReady() }],
+      path: '/health',
     }),
   ],
 })
 export class AppModule {}
 ```
 
-Il contratto e identico al servizio standalone (200/503, `checks` con `bootstrap`, `database`,
-store configurati e check aggiuntivi). Per un uso programmatico (senza controller) ci sono
-`checkAccessiReadiness(accessiOptions, checks)`, `createAccessiLiveReport()` e
-`readinessHttpStatus(report)`.
+Il contratto è identico al servizio standalone (200/503, `checks` con
+`bootstrap`, `database`, store configurati e check aggiuntivi). Per un uso
+programmatico ci sono `checkAccessiReadiness`, `createAccessiLiveReport` e
+`readinessHttpStatus`.
 
 ## Esecuzione come processo
 
-In produzione il servizio viene eseguito come processo Node gestito da systemd, PM2 o dal supervisor del cliente:
+In produzione il servizio viene eseguito come processo Node gestito da systemd,
+PM2, Docker o dal supervisor del cliente:
 
 ```bash
 npm run accessi:serve:dist
@@ -105,25 +115,98 @@ TimeoutStopSec=15
 WantedBy=multi-user.target
 ```
 
-Il readiness endpoint `/health/ready` va usato dal load balancer o dal supervisore per decidere quando inviare traffico.
-
-## Configurazione consigliata
-
-- `ACCESSI_DB_*`
-- `ACCESSI_ENCRYPTION_KEY`
-- `ACCESSI_JWT_SECRET`
-- `ACCESSI_JWT_ISSUER`
-- `ACCESSI_JWT_AUDIENCE`
-- `ACCESSI_JWT_ALGORITHM`, `ACCESSI_JWT_PRIVATE_KEY`, `ACCESSI_JWT_PUBLIC_KEY`, `ACCESSI_JWT_KEY_ID` per RS/ES
-- `ACCESSI_JWKS_PATH`
-- SMTP
-- `PORT`
-
-Per Redis, passare gli store nel bootstrap applicativo:
-
-```ts
-import { createRedisRateLimitStore, createRedisConsoleEntryStore } from "emilsoftware-utilities/accessi/server";
-```
+Il readiness endpoint `/health/ready` va usato dal load balancer o dal
+supervisore per decidere quando inviare traffico.
+
+Per Docker, Nginx, Traefik e multi-tenant usa i template in
+[`deploy/`](../deploy/README.md). Non contengono segreti e vanno adattati.
+
+## Migrazioni e rollout
+
+1. Fai un backup del database.
+2. Esegui la migrazione con **un solo processo**:
+
+   ```bash
+   npm run db:update:accessi
+   ```
+
+3. Avvia le repliche con `autoUpdateDatabase: false`: verificano lo schema in
+   sola lettura e non eseguono DDL concorrenti.
+4. Attendi `/health/ready` prima di inviare traffico.
+5. Ruota una replica alla volta. Il servizio chiude Nest e i pool Firebird su
+   `SIGTERM`/`SIGINT`.
+
+Non eseguire migrazioni DDL con più repliche o con traffico applicativo.
+
+### Migrazioni e seed da ambiente
+
+| Variabile | Default | Uso |
+| --- | --- | --- |
+| `ACCESSI_AUTO_UPDATE_DATABASE` | `true` | `false` sulle repliche: verifica lo schema in sola lettura |
+| `ACCESSI_LEGACY_PASSWORD_MIGRATION` | `true` | Migrazione password legacy al bootstrap |
+| `ACCESSI_SYSTEM_SEEDS_ENABLED` | `true` | Seed di sistema (menu e scope di base) |
+| `ACCESSI_ADMIN_BOOTSTRAP_ENABLED` | `false` | Token monouso per creare il primo admin |
+
+I booleani accettano `true/false`, `1/0`, `yes/no`, `on/off`; un valore diverso
+blocca l'avvio indicando la variabile da correggere.
+
+### Cookie, osservabilità e tenant da ambiente
+
+| Variabile | Default | Uso |
+| --- | --- | --- |
+| `ACCESSI_AUTH_COOKIE_ENABLED` | assente = Bearer | Abilita la modalità cookie HttpOnly |
+| `ACCESSI_AUTH_COOKIE_SECURE` | `true` | `false` solo in sviluppo HTTP |
+| `ACCESSI_AUTH_COOKIE_SAME_SITE` | `lax` | `strict`, `lax`, `none` |
+| `ACCESSI_AUTH_COOKIE_CSRF` | `double-submit` | `off` solo con protezione CSRF esterna |
+| `ACCESSI_METRICS_ENABLED` | `true` | Metriche di dominio |
+| `ACCESSI_METRICS_PREFIX` | `accessi` | Prefisso dei nomi |
+| `ACCESSI_AUDIT_ENABLED` | `true` | Sink di audit |
+| `ACCESSI_AUDIT_RETENTION_DAYS` | nessuna | Retention dei sink interrogabili |
+| `ACCESSI_AUDIT_LOGGER` | `true` | Scrittura anche sul Logger strutturato |
+| `ACCESSI_PUBLIC_REGISTRATION_ENABLED` | `false` | Registrazione pubblica opt-in |
+| `ACCESSI_FEDERATED_AUTH_ENABLED` | `false` | API SSO generiche |
+| `ACCESSI_FEDERATED_SELF_REGISTRATION` | `false` | Creazione utenti SSO senza master |
+| `ACCESSI_SERVICE_TOKENS_ENABLED` | `true` | API dei service token |
+| `ACCESSI_SERVICE_TOKENS_DEFAULT_TTL_DAYS` | nessuna scadenza | TTL predefinito dei service token |
+| `ACCESSI_TENANT_ID` | assente | Label `tenant` su metriche e audit |
+| `ACCESSI_CONSOLE_ENTRY_TTL_MS` | `60000` | TTL del ticket console |
+
+Gli store Redis (rate limit, ticket, revoche, rotazione refresh, audit) restano
+oggetti runtime: vanno collegati nel bootstrap applicativo con `createAccessiService`
+o `AccessiModule.forRoot`, non tramite variabili d'ambiente.
+
+### HTTP, proxy e rate limit da ambiente
+
+| Variabile | Default | Uso |
+| --- | --- | --- |
+| `ACCESSI_HTTP_TRUST_PROXY` | `false` | `1` per un proxy, `2` per due hop, `loopback` o CIDR |
+| `ACCESSI_CORS_ORIGINS` | assente | Lista separata da virgola; `*` solo senza credenziali |
+| `ACCESSI_CORS_CREDENTIALS` | `false` | `true` obbligatorio con cookie HttpOnly |
+| `ACCESSI_SECURITY_HEADERS` | `true` | Header di sicurezza e CSP |
+| `ACCESSI_PUBLIC_RATE_LIMIT_ENABLED` | `true` | Rate limit degli endpoint pubblici |
+| `ACCESSI_PUBLIC_RATE_LIMIT_WINDOW_MS` | default modulo | Finestra globale per tutti gli scope |
+| `ACCESSI_PUBLIC_RATE_LIMIT_MAX_ATTEMPTS` | default modulo | Tentativi globali per tutti gli scope |
+| `ACCESSI_PUBLIC_RATE_LIMIT_<SCOPE>_WINDOW_MS` | eredita il globale | Override per `LOGIN`, `REGISTER`, `REFRESH`, `TWO_FACTOR_VERIFY`, `CONSOLE_ENTRY`, ... |
+| `ACCESSI_PUBLIC_RATE_LIMIT_<SCOPE>_MAX_ATTEMPTS` | eredita il globale | Override per lo stesso scope |
+| `ACCESSI_EDGE_RATE_LIMIT_ENABLED` | `false` | Limite grossolano prima delle rotte Accessi |
+| `ACCESSI_EDGE_RATE_LIMIT_WINDOW_MS` | `60000` | Finestra dell'edge rate limit |
+| `ACCESSI_EDGE_RATE_LIMIT_MAX_ATTEMPTS` | `300` | Tentativi dell'edge rate limit |
+
+Finestra e tentativi di uno stesso scope devono essere configurati insieme;
+altrimenti l'avvio fallisce con il nome della variabile mancante.
+
+## Store condivisi
+
+In multi-istanza configura store condivisi:
+
+- `consoleEntry.store` con `createRedisConsoleEntryStore`;
+- `publicAuthRateLimit.store` e `serviceTokens.rateLimitStore` con `createRedisRateLimitStore`;
+- `sessionRevocation.store`, `accessTokenRevocation.store` e `refreshTokenRotation.store`;
+- `audit.store` o `audit.sinks`.
+
+Senza store condivisi ticket, revoche e rate limit restano locali al processo.
+Se Redis non è raggiungibile i controlli falliscono chiusi. Dettagli in
+[WIKI.md](../WIKI.md#store-condivisi-e-multi-istanza).
 
 ## Generazione chiavi JWT
 
@@ -138,7 +221,7 @@ Genera:
 - `jwks.json`
 - `jwt-keys.json` con `algorithm` e `keyId`
 
-Configurare poi:
+Configura poi:
 
 ```env
 ACCESSI_JWT_ALGORITHM=RS256
@@ -147,10 +230,12 @@ ACCESSI_JWT_PUBLIC_KEY=<contenuto jwt-public.pem>
 ACCESSI_JWT_KEY_ID=<keyId>
 ```
 
+La rotazione senza downtime è descritta in [jwt-key-rotation.md](jwt-key-rotation.md).
+
 ## Revoca sessioni
 
 ```ts
-import { createRedisSessionRevocationStore } from "emilsoftware-utilities/accessi/server";
+import { createRedisSessionRevocationStore } from 'emilsoftware-utilities/accessi/server';
 
 sessionRevocation: {
   store: createRedisSessionRevocationStore({
@@ -167,29 +252,30 @@ POST /api/accessi/auth/revoke-sessions
 Authorization: Bearer <access-token>
 ```
 
-I resource server fratelli devono ricevere lo stesso store in `revocation.store`.
+I resource server fratelli devono ricevere lo stesso store in `revocation.store`
+oppure applicare la revoca tramite introspection.
 
 ## Console su dominio separato
 
-Se la console è servita da un dominio diverso dall’API:
+Se la console è servita da un dominio diverso dall'API:
 
 ```ts
 accessiOptions: {
   ...options,
-  consoleApiBaseUrl: "https://accessi.example.com",
+  consoleApiBaseUrl: 'https://accessi.example.com',
 }
 ```
 
 Accessi inietta `window.__ACCESSI_API_BASE_URL__` nella pagina della console.
 
-## CORS e proxy
+## CORS, proxy e header
 
 ```ts
 accessiOptions: {
   ...options,
   http: {
     cors: {
-      origin: ["https://app.example.com"],
+      origin: ['https://app.example.com'],
       credentials: false,
     },
     trustProxy: 1, // load balancer/reverse proxy
@@ -198,4 +284,44 @@ accessiOptions: {
 }
 ```
 
-Con Bearer token non serve CSRF. Se in futuro si passasse a cookie httpOnly, aggiungere CSRF e configurazione cookie same-site.
+- `cors: false` disabilita CORS.
+- `trustProxy` è obbligatorio per rate limit e audit corretti dietro proxy.
+- `securityHeaders` aggiunge header di sicurezza e CSP configurabile.
+- Con Bearer non serve CSRF. Con cookie HttpOnly serve CSRF double-submit.
+
+Dettagli: [proxy-ip.md](proxy-ip.md), [security-headers.md](security-headers.md)
+e [gateway-rate-limit.md](gateway-rate-limit.md).
+
+## Modalità cookie HttpOnly
+
+Bearer resta il default. Per usare cookie `HttpOnly`:
+
+```ts
+accessiOptions: {
+  ...options,
+  authCookie: {
+    enabled: true,
+    secure: true,
+    sameSite: 'lax',
+  },
+}
+```
+
+In questa modalità Accessi invia i token in cookie, non li restituisce nel body
+(salvo `exposeTokens: true`) e richiede l'header CSRF sulle richieste che
+modificano stato. CORS deve avere `credentials: true` e un origin esplicito.
+Dettagli e flusso browser in [auth-cookies.md](auth-cookies.md).
+
+## Checklist di produzione
+
+- Con `NODE_ENV=production` il servizio fallisce se `ACCESSI_JWT_SECRET` o `ACCESSI_ENCRYPTION_KEY` mancano o usano i default locali.
+- Database Accessi raggiungibile solo dal servizio.
+- `encryptionKey`, SMTP e chiavi JWT da un secret manager.
+- `issuer` e `audience` espliciti e diversi per ambiente.
+- RS256/ES256 con JWKS; HS256 solo transitorio.
+- `trustProxy` corretto, CORS con origin espliciti, CSP attiva.
+- Store Redis condivisi in multi-istanza.
+- Rate limit pubblico, service token ed edge configurati.
+- Audit con retention e sink interrogabile.
+- Backup e migrazioni collaudate.
+- `/health/ready` usato dal load balancer e metriche su rete interna.

package/integration-prompt.md

@@ -1,8 +1,16 @@
 # Integration prompt — Accessi (`emilsoftware-utilities`)
 
-Questo documento e il contesto unico da passare a un agente AI o a uno sviluppatore che deve integrare Accessi in un backend, in un frontend o in un altro servizio.
+Questo documento è il contesto unico da passare a un agente AI o a uno sviluppatore che deve integrare Accessi in un backend, in un frontend o in un altro servizio.
 
-L'obiettivo e evitare l'errore piu comune: **montare `AccessiModule` ovunque**. Accessi e un servizio di identita; gli altri backend sono resource server.
+Documentazione correlata:
+
+- [`docs/README.md`](docs/README.md): indice completo per ruolo.
+- [`WIKI.md`](WIKI.md): guida estesa; [`WIKI.ai.md`](WIKI.ai.md): digest compatto.
+- [`docs/quickstart-service.md`](docs/quickstart-service.md): backend che possiede Accessi.
+- [`docs/quickstart-resource-server.md`](docs/quickstart-resource-server.md): backend fratello.
+- [`docs/quickstart-frontend.md`](docs/quickstart-frontend.md): login e chiamate dal browser.
+
+L'obiettivo è evitare l'errore più comune: **montare `AccessiModule` ovunque**. Accessi è un servizio di identità; gli altri backend sono resource server.
 
 ---
 
@@ -51,7 +59,9 @@ Se per ora Accessi e montato dentro Backend A, va bene: Backend A e il proprieta
 | `emilsoftware-utilities/accessi/console` | `buildAccessiConsoleUrl`, URL console e ticket. |
 | `emilsoftware-utilities/accessi/ui` | Percorsi asset Web Component frameworkless. |
 
-Il root export `emilsoftware-utilities` resta per retrocompatibilita, ma nei nuovi progetti usare gli entry point sopra.
+Il root export `emilsoftware-utilities` resta per retrocompatibilità, ma nei nuovi progetti usare gli entry point sopra.
+
+La facciata pubblica vive in `src/accessi/`; l'implementazione del servizio in `src/accessi-service/`. I consumer importano solo `emilsoftware-utilities/accessi/*`, mai i path interni.
 
 ---
 
@@ -151,7 +161,7 @@ const options: AccessiServerOptions = {
   databaseOptions: {
     host: process.env.ACCESSI_DB_HOST!,
     port: Number(process.env.ACCESSI_DB_PORT ?? 3050),
-    database: process.env.ACCESSI_DB_NAME!,
+    database: process.env.ACCESSI_DB_DATABASE!,
     user: process.env.ACCESSI_DB_USER!,
     password: process.env.ACCESSI_DB_PASSWORD!,
   },
@@ -173,13 +183,13 @@ const options: AccessiServerOptions = {
     // keyId: "accessi-2026-01",
   },
   emailOptions: {
-    host: process.env.SMTP_HOST!,
-    port: Number(process.env.SMTP_PORT ?? 587),
+    host: process.env.ACCESSI_EMAIL_HOST!,
+    port: Number(process.env.ACCESSI_EMAIL_PORT ?? 587),
     secure: false,
     requireTLS: true,
     tls: { rejectUnauthorized: true },
-    from: "no-reply@example.com",
-    auth: { user: process.env.SMTP_USER!, pass: process.env.SMTP_PASS! },
+    from: process.env.ACCESSI_EMAIL_FROM!,
+    auth: { user: process.env.ACCESSI_EMAIL_USER!, pass: process.env.ACCESSI_EMAIL_PASSWORD! },
   },
   serviceTokens: { enabled: true, defaultTtlDays: 365 },
 };
@@ -352,6 +362,18 @@ Resource server ed edge rate limit producono eventi strutturati tramite `auditAc
 
 Nel servizio standalone le metriche Prometheus sono su `/health/metrics`.
 
+### Cookie HttpOnly e CSRF
+
+Bearer resta il default. Con `authCookie` Accessi invia access e refresh token in cookie `HttpOnly`, non li restituisce nel body (salvo `exposeTokens: true`) e richiede l'header CSRF double-submit sulle richieste che modificano stato. CORS deve avere `credentials: true` e un origin esplicito. Dettagli: `docs/auth-cookies.md`.
+
+### Metriche e audit
+
+Le metriche di dominio coprono login, 2FA, refresh, rate limit, introspection, JWKS, revoche, ticket console e store Redis; l'audit persistente ha sink, retention ed endpoint admin `GET /api/accessi/audit` e `/audit/export`. Dettagli: `docs/metrics.md` e `docs/audit.md`.
+
+### Multi-tenancy
+
+Un database e un processo per tenant, configurazione in `*.environment.ts`, supervisore con hot reload, router in-process opt-in e store Redis con prefisso per tenant. Dettagli: `docs/multi-tenancy.md` e `deploy/README.md`.
+
 ---
 
 ## 4. Backend fratello — Express
@@ -675,7 +697,7 @@ Accessi Service:
 ```env
 ACCESSI_DB_HOST=
 ACCESSI_DB_PORT=3050
-ACCESSI_DB_NAME=
+ACCESSI_DB_DATABASE=
 ACCESSI_DB_USER=
 ACCESSI_DB_PASSWORD=
 ACCESSI_ENCRYPTION_KEY=
@@ -689,14 +711,16 @@ ACCESSI_JWT_ALGORITHM=RS256
 ACCESSI_JWT_PRIVATE_KEY=
 ACCESSI_JWT_PUBLIC_KEY=
 ACCESSI_JWT_KEY_ID=
+ACCESSI_JWT_PREVIOUS_PUBLIC_KEYS=
 ACCESSI_JWKS_PATH=accessi/.well-known/jwks.json
 ACCESSI_CONSOLE_ENTRY_TTL_MS=60000
 ACCESSI_CONSOLE_ENTRY_KEY=
-SMTP_HOST=
-SMTP_PORT=587
-SMTP_USER=
-SMTP_PASS=
+ACCESSI_EMAIL_HOST=
+ACCESSI_EMAIL_PORT=587
+ACCESSI_EMAIL_USER=
+ACCESSI_EMAIL_PASSWORD=
 ACCESSI_EMAIL_FROM=
+ACCESSI_PUBLIC_BASE_URL=
 ```
 
 Backend fratello:
@@ -763,7 +787,7 @@ Checklist:
 
 ### Per un agente AI
 
-> Prima di modificare codice, leggi `integration-prompt.md`, `WIKI.md` e `src/accessi-module/Console/changelog.md`. Rispetta la separazione dei ruoli: `accessi/server` solo sul proprietario del DB, `accessi/resource-server` sui backend fratelli. Non aggiungere dipendenze dal database Accessi nei resource server. Non inventare endpoint: l'introspection e `POST /api/accessi/auth/introspect` con service token scope `accessi:introspect`. Non cambiare i default HS256 senza una finestra di migrazione. Aggiungi test per token valido, scaduto, utente disabilitato, permessi insufficienti e introspection non raggiungibile.
+> Prima di modificare codice, leggi `integration-prompt.md`, `WIKI.md` e `src/accessi-service/console/changelog.md`. Rispetta la separazione dei ruoli: `accessi/server` solo sul proprietario del DB, `accessi/resource-server` sui backend fratelli. Non aggiungere dipendenze dal database Accessi nei resource server. Non inventare endpoint: l'introspection e `POST /api/accessi/auth/introspect` con service token scope `accessi:introspect`. Non cambiare i default HS256 senza una finestra di migrazione. Aggiungi test per token valido, scaduto, utente disabilitato, permessi insufficienti e introspection non raggiungibile.
 
 ---
 

package/package.json

@@ -1,7 +1,10 @@
 {
   "name": "emilsoftware-utilities",
-  "version": "2.0.0-dev.83",
+  "version": "2.0.0-dev.85",
   "description": "Utilities for EmilSoftware",
+  "engines": {
+    "node": ">=18"
+  },
   "main": "dist/index.js",
   "module": "dist/index.js",
   "types": "dist/index.d.ts",
@@ -14,8 +17,8 @@
   },
   "sideEffects": [
     "./dist/index.js",
-    "./dist/firebird-compat.js",
-    "./dist/accessi-module/Console/console.js"
+    "./dist/firebirdCompat.js",
+    "./dist/accessi-service/console/console.js"
   ],
   "exports": {
     ".": {
@@ -102,9 +105,9 @@
       "import": "./dist/accessi/console/index.js",
       "default": "./dist/accessi/console/index.js"
     },
-    "./accessi/console/index.html": "./dist/accessi-module/Console/index.html",
-    "./accessi/console/console.js": "./dist/accessi-module/Console/console.js",
-    "./accessi/console/console.css": "./dist/accessi-module/Console/console.css",
+    "./accessi/console/index.html": "./dist/accessi-service/console/index.html",
+    "./accessi/console/console.js": "./dist/accessi-service/console/console.js",
+    "./accessi/console/console.css": "./dist/accessi-service/console/console.css",
     "./accessi/ui": {
       "types": "./dist/accessi/ui/index.d.ts",
       "require": "./dist/accessi/ui/index.js",
@@ -125,24 +128,24 @@
     "generate:accessi-openapi": "ts-node --transpile-only src/scripts/generateAccessiOpenApi.ts",
     "generate:accessi-client": "orval --config orval.config.ts",
     "generate:accessi-wiki": "ts-node --transpile-only src/scripts/generateAccessiWiki.ts",
-    "build:accessi-console": "esbuild src/accessi-module/Console/console.ts --bundle --platform=browser --format=esm --target=es2020 --loader:.md=text --outfile=dist/accessi-module/Console/console.js",
-    "copy-views": "node copy-views.js",
-    "db:update:accessi": "ts-node src/accessi-module/database-updates/runAccessiDbUpdate.ts",
-    "db:update:accessi:dist": "npm run build && node dist/accessi-module/database-updates/runAccessiDbUpdate.js",
+    "build:accessi-console": "esbuild src/accessi-service/console/console.ts --bundle --platform=browser --format=esm --target=es2020 --loader:.md=text --outfile=dist/accessi-service/console/console.js",
+    "copy-views": "node scripts/copy-views.cjs",
+    "db:update:accessi": "ts-node src/accessi-service/database-updates/runAccessiDbUpdate.ts",
+    "db:update:accessi:dist": "npm run build && node dist/accessi-service/database-updates/runAccessiDbUpdate.js",
     "accessi:serve": "ts-node src/scripts/startAccessiService.ts",
     "accessi:serve:dist": "node dist/scripts/startAccessiService.js",
     "accessi:tenants": "node scripts/accessi-tenants.cjs",
     "accessi:generate-jwt-keys": "node scripts/generate-accessi-jwt-keys.cjs",
     "accessi:rotate-jwt-keys": "node scripts/rotate-accessi-jwt-keys.cjs",
-    "db:catalog:accessi": "ts-node src/accessi-module/database-updates/runAccessiCatalogMigrations.ts",
-    "db:catalog:accessi:check": "ts-node src/accessi-module/database-updates/runAccessiCatalogMigrations.ts --check",
+    "db:catalog:accessi": "ts-node src/accessi-service/database-updates/runAccessiCatalogMigrations.ts",
+    "db:catalog:accessi:check": "ts-node src/accessi-service/database-updates/runAccessiCatalogMigrations.ts --check",
     "prepublishOnly": "npm run build",
     "typecheck": "tsc --noEmit",
     "lint": "node scripts/lint.cjs",
     "check:deploy": "node scripts/check-deploy-templates.cjs",
-    "test": "npm run typecheck && npm run lint && npm run test:unit",
-    "test:unit": "node --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs test/auth-cookies.cjs test/metrics.cjs test/audit.cjs test/import-entrypoints.cjs test/tenants.cjs test/tenant-stores.cjs test/deploy-templates.cjs test/tenant-supervisor.cjs",
-    "test:coverage": "node --experimental-test-coverage --test-coverage-lines=50 --test-coverage-functions=60 --test-coverage-branches=60 --test test/angular-components.cjs test/menus-catalog.mjs test/menu-scopes.cjs test/accessi-regressions.cjs test/password-reset-regressions.cjs test/two-factor.cjs test/accessi-schema.cjs test/utilities-regressions.cjs test/service-token-regressions.cjs test/accessi-email-config.cjs test/accessi-catalog-scripts.cjs test/openapi-config.cjs test/resource-server.cjs test/accessi-security-standards.cjs test/accessi-service.cjs test/refresh-token.cjs test/token-revocation.cjs test/accessi-client.cjs test/accessi-client-scopes.cjs test/openapi-semantic-diff.cjs test/proxy-ip.cjs test/readiness.cjs test/jwt-key-rotation.cjs test/security-headers.cjs test/auth-cookies.cjs test/metrics.cjs test/audit.cjs test/import-entrypoints.cjs test/tenants.cjs test/tenant-stores.cjs test/deploy-templates.cjs test/tenant-supervisor.cjs",
+    "test": "npm run typecheck && npm run lint && npm run check:naming && npm run test:unit",
+    "test:unit": "node --test \"test/*.cjs\" \"test/*.mjs\"",
+    "test:coverage": "node --experimental-test-coverage --test-coverage-lines=50 --test-coverage-functions=60 --test-coverage-branches=60 --test \"test/*.cjs\" \"test/*.mjs\"",
     "test:accessi": "npm run test:unit",
     "test:all": "npm test && npm run test:integration && npm run test:integration:redis",
     "test:integration": "node test/integration/run-firebird.cjs 5",
@@ -151,20 +154,21 @@
     "test:integration:fb5": "node test/integration/run-firebird.cjs 5",
     "test:integration:fb3": "node test/integration/run-firebird.cjs 3",
     "test:integration:fb25": "node test/integration/run-firebird.cjs 2.5",
-    "test:accessi-console": "npm run build && node test/console-two-factor.cjs",
+    "test:accessi-console": "npm run build && node test/console/console-two-factor.cjs",
     "test:pack": "node scripts/pack-smoke-test.cjs",
     "test:proxy-ip": "node --test test/proxy-ip.cjs test/readiness.cjs",
     "accessi:seed-admin": "node scripts/seed-accessi-admin.cjs",
     "accessi:console": "node scripts/run-accessi-console.cjs",
     "test:accessi-schema": "node --test test/accessi-schema.cjs",
-    "db:check:accessi": "ts-node src/accessi-module/database-updates/runAccessiDbUpdate.ts --check",
+    "db:check:accessi": "ts-node src/accessi-service/database-updates/runAccessiDbUpdate.ts --check",
     "menus:init": "node scripts/menus/init.mjs",
     "menus:verify": "node scripts/menus/verify.mjs",
     "menus:generate": "node scripts/menus/generate.mjs",
     "menus:check": "node scripts/menus/generate.mjs --check",
     "menus:bootstrap": "node scripts/menus/bootstrap.mjs",
     "menus:seed": "node scripts/menus/seed.mjs",
-    "menus:seed:check": "node scripts/menus/seed.mjs --check"
+    "menus:seed:check": "node scripts/menus/seed.mjs --check",
+    "check:naming": "node scripts/check-naming.cjs"
   },
   "publishConfig": {
     "access": "public"
@@ -230,7 +234,8 @@
     "dist",
     "deploy",
     "integration-prompt.md",
-    "docs"
+    "docs",
+    "SECURITY.md"
   ],
   "config": {
     "commitizen": {