AdamThomasandClaude Sonnet 5
89e74e5ec7
Audit de l'application avant sa première publication sur internet. Correctifs immédiats, peu coûteux et sans changement de comportement en dev : - Le backend refuse de démarrer en `ENVIRONMENT=production` si `JWT_SECRET` est vide, trop court ou égal à la valeur par défaut versionnée dans `.env.example` — sinon n'importe qui pourrait forger un jeton de session valide (y compris pour un compte COORDINATION) sans jamais s'authentifier. Testé (`test_config.py`). - Avertissement au démarrage si `EMAIL_ENABLED=false` en production : dans ce cas le jeton de lien magique est journalisé en clair (confort de dev, cf. `api/auth.py`) — un identifiant de connexion en clair dans les logs du conteneur en public serait un vrai problème. - `frontend/nginx.conf` : plus de journal d'accès (la route `/connexion?token=…` y ferait apparaître le jeton de lien magique en clair), en-têtes `X-Content-Type-Options`, `X-Frame-Options`, `Referrer-Policy` (empêche aussi la fuite de ce même jeton vers Google Fonts via l'en-tête Referer), `server_tokens off`. - `deploy/Caddyfile.benevoles` : mêmes en-têtes côté reverse proxy public, plus `Strict-Transport-Security`. - `deploy/README.md` : check-list sécurité avant ouverture (secret, SMTP, ne jamais mettre en production la base de démo `app.seed` — le mot de passe du compte coordination y est versionné en clair —, limites connues comme l'absence de rate-limiting sur `/auth/*`). Points vérifiés sans modification nécessaire : autorisation par rôle et cloisonnement par édition cohérents sur tous les endpoints (`owned_or_404` + vérification d'édition partout), mots de passe bcryptés, jetons de lien magique à usage unique haché en base (256 bits d'entropie), pas de PII/jeton dans les logs applicatifs (RGPD déjà en place), pas d'injection de gabarit dans les emails (substitution sur liste blanche, pas de `.format()`), pas d'injection d'en-tête SMTP (`EmailMessage` du socle Python), pas de `dangerouslySetInnerHTML` côté front, jeton JWT en `Authorization: Bearer` (pas de cookie ⇒ pas de CSRF), `.env` jamais versionné, dépendances à jour. Restent des choix à trancher avec l'utilisateur plutôt qu'à décider seul (compromis effort/risque) : rate-limiting sur les endpoints d'authentification, désactivation de `/docs` en production, conteneurs non-root. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM
37 lines
1.5 KiB
Nginx Configuration File
37 lines
1.5 KiB
Nginx Configuration File
server {
|
|
listen 80;
|
|
server_name _;
|
|
root /usr/share/nginx/html;
|
|
index index.html;
|
|
|
|
# Pas de version nginx dans les en-têtes/pages d'erreur (surface de
|
|
# reconnaissance en moins).
|
|
server_tokens off;
|
|
|
|
# RGPD / sécurité : les liens magiques (`/connexion?token=…`, un jeton de
|
|
# connexion à usage unique) transitent par cette route. Pas de journal
|
|
# d'accès ici — un jeton en clair dans un log de conteneur serait un vrai
|
|
# moyen de se connecter à la place de quelqu'un pendant sa durée de vie.
|
|
access_log off;
|
|
|
|
# Postures de base pour une appli publique : pas de sniffing de type MIME,
|
|
# jamais dans une frame étrangère (l'appli n'a aucune raison d'y être),
|
|
# et un Referer minimal vers les tiers (police Google Fonts) — l'URL
|
|
# complète (avec un éventuel ?token=) ne doit jamais leur être transmise.
|
|
add_header X-Content-Type-Options "nosniff" always;
|
|
add_header X-Frame-Options "DENY" always;
|
|
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
|
|
|
|
# Fichiers hachés par Vite (contenu du nom = jamais modifiés une fois
|
|
# publiés) : cache long côté navigateur.
|
|
location /assets/ {
|
|
add_header Cache-Control "public, max-age=31536000, immutable";
|
|
}
|
|
|
|
# Application monopage (react-router-dom) : toute route inconnue du
|
|
# serveur retombe sur index.html, le routeur prend le relais côté client.
|
|
location / {
|
|
try_files $uri $uri/ /index.html;
|
|
}
|
|
}
|