AdamThomasandClaude Sonnet 5
89e74e5ec7
Audit de l'application avant sa première publication sur internet. Correctifs immédiats, peu coûteux et sans changement de comportement en dev : - Le backend refuse de démarrer en `ENVIRONMENT=production` si `JWT_SECRET` est vide, trop court ou égal à la valeur par défaut versionnée dans `.env.example` — sinon n'importe qui pourrait forger un jeton de session valide (y compris pour un compte COORDINATION) sans jamais s'authentifier. Testé (`test_config.py`). - Avertissement au démarrage si `EMAIL_ENABLED=false` en production : dans ce cas le jeton de lien magique est journalisé en clair (confort de dev, cf. `api/auth.py`) — un identifiant de connexion en clair dans les logs du conteneur en public serait un vrai problème. - `frontend/nginx.conf` : plus de journal d'accès (la route `/connexion?token=…` y ferait apparaître le jeton de lien magique en clair), en-têtes `X-Content-Type-Options`, `X-Frame-Options`, `Referrer-Policy` (empêche aussi la fuite de ce même jeton vers Google Fonts via l'en-tête Referer), `server_tokens off`. - `deploy/Caddyfile.benevoles` : mêmes en-têtes côté reverse proxy public, plus `Strict-Transport-Security`. - `deploy/README.md` : check-list sécurité avant ouverture (secret, SMTP, ne jamais mettre en production la base de démo `app.seed` — le mot de passe du compte coordination y est versionné en clair —, limites connues comme l'absence de rate-limiting sur `/auth/*`). Points vérifiés sans modification nécessaire : autorisation par rôle et cloisonnement par édition cohérents sur tous les endpoints (`owned_or_404` + vérification d'édition partout), mots de passe bcryptés, jetons de lien magique à usage unique haché en base (256 bits d'entropie), pas de PII/jeton dans les logs applicatifs (RGPD déjà en place), pas d'injection de gabarit dans les emails (substitution sur liste blanche, pas de `.format()`), pas d'injection d'en-tête SMTP (`EmailMessage` du socle Python), pas de `dangerouslySetInnerHTML` côté front, jeton JWT en `Authorization: Bearer` (pas de cookie ⇒ pas de CSRF), `.env` jamais versionné, dépendances à jour. Restent des choix à trancher avec l'utilisateur plutôt qu'à décider seul (compromis effort/risque) : rate-limiting sur les endpoints d'authentification, désactivation de `/docs` en production, conteneurs non-root. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM
64 lines
2.4 KiB
Python
64 lines
2.4 KiB
Python
import logging
|
|
|
|
from fastapi import FastAPI
|
|
from fastapi.middleware.cors import CORSMiddleware
|
|
|
|
from app.api.accounts import router as account_router
|
|
from app.api.artists import router as artist_router
|
|
from app.api.assignments import router as assignment_router
|
|
from app.api.auth import router as auth_router
|
|
from app.api.availability import router as availability_router
|
|
from app.api.day_parts import router as day_part_router
|
|
from app.api.editions import router as edition_router
|
|
from app.api.health import router as health_router
|
|
from app.api.imports import router as import_router
|
|
from app.api.matrix import router as matrix_router
|
|
from app.api.notifications import router as notification_router
|
|
from app.api.positions import router as position_router
|
|
from app.api.shifts import router as shift_router
|
|
from app.api.solver import router as solver_router
|
|
from app.api.volunteers import router as volunteer_router
|
|
from app.config import get_settings
|
|
from app.logging_config import configure_logging
|
|
|
|
configure_logging()
|
|
|
|
settings = get_settings()
|
|
|
|
if settings.is_production and not settings.email_enabled:
|
|
# Avec EMAIL_ENABLED=false, le jeton de lien magique est journalisé en
|
|
# clair (confort de dev, voir `api/auth.py`) — acceptable en local, jamais
|
|
# en production : quiconque lit les logs du conteneur peut alors se
|
|
# connecter à la place de n'importe quel bénévole ou référent.
|
|
logging.getLogger("app.main").warning(
|
|
"EMAIL_ENABLED=false en production : les liens magiques sont "
|
|
"journalisés en clair au lieu d'être envoyés par email. Configurer "
|
|
"le SMTP avant l'ouverture au public."
|
|
)
|
|
|
|
app = FastAPI(title="Gestion des bénévoles", version="0.1.0")
|
|
|
|
app.add_middleware(
|
|
CORSMiddleware,
|
|
allow_origins=settings.cors_origins,
|
|
allow_credentials=True,
|
|
allow_methods=["*"],
|
|
allow_headers=["*"],
|
|
)
|
|
|
|
app.include_router(health_router)
|
|
app.include_router(auth_router)
|
|
app.include_router(edition_router)
|
|
app.include_router(day_part_router)
|
|
app.include_router(account_router)
|
|
app.include_router(import_router)
|
|
app.include_router(artist_router)
|
|
app.include_router(volunteer_router)
|
|
app.include_router(availability_router)
|
|
app.include_router(position_router)
|
|
app.include_router(shift_router)
|
|
app.include_router(assignment_router)
|
|
app.include_router(solver_router)
|
|
app.include_router(matrix_router)
|
|
app.include_router(notification_router)
|