AdamThomasandClaude Sonnet 5
89e74e5ec7
Audit de l'application avant sa première publication sur internet. Correctifs immédiats, peu coûteux et sans changement de comportement en dev : - Le backend refuse de démarrer en `ENVIRONMENT=production` si `JWT_SECRET` est vide, trop court ou égal à la valeur par défaut versionnée dans `.env.example` — sinon n'importe qui pourrait forger un jeton de session valide (y compris pour un compte COORDINATION) sans jamais s'authentifier. Testé (`test_config.py`). - Avertissement au démarrage si `EMAIL_ENABLED=false` en production : dans ce cas le jeton de lien magique est journalisé en clair (confort de dev, cf. `api/auth.py`) — un identifiant de connexion en clair dans les logs du conteneur en public serait un vrai problème. - `frontend/nginx.conf` : plus de journal d'accès (la route `/connexion?token=…` y ferait apparaître le jeton de lien magique en clair), en-têtes `X-Content-Type-Options`, `X-Frame-Options`, `Referrer-Policy` (empêche aussi la fuite de ce même jeton vers Google Fonts via l'en-tête Referer), `server_tokens off`. - `deploy/Caddyfile.benevoles` : mêmes en-têtes côté reverse proxy public, plus `Strict-Transport-Security`. - `deploy/README.md` : check-list sécurité avant ouverture (secret, SMTP, ne jamais mettre en production la base de démo `app.seed` — le mot de passe du compte coordination y est versionné en clair —, limites connues comme l'absence de rate-limiting sur `/auth/*`). Points vérifiés sans modification nécessaire : autorisation par rôle et cloisonnement par édition cohérents sur tous les endpoints (`owned_or_404` + vérification d'édition partout), mots de passe bcryptés, jetons de lien magique à usage unique haché en base (256 bits d'entropie), pas de PII/jeton dans les logs applicatifs (RGPD déjà en place), pas d'injection de gabarit dans les emails (substitution sur liste blanche, pas de `.format()`), pas d'injection d'en-tête SMTP (`EmailMessage` du socle Python), pas de `dangerouslySetInnerHTML` côté front, jeton JWT en `Authorization: Bearer` (pas de cookie ⇒ pas de CSRF), `.env` jamais versionné, dépendances à jour. Restent des choix à trancher avec l'utilisateur plutôt qu'à décider seul (compromis effort/risque) : rate-limiting sur les endpoints d'authentification, désactivation de `/docs` en production, conteneurs non-root. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM
84 lines
3.1 KiB
Python
84 lines
3.1 KiB
Python
from functools import lru_cache
|
|
|
|
from pydantic import model_validator
|
|
from pydantic_settings import BaseSettings, SettingsConfigDict
|
|
|
|
# Valeur de développement uniquement (versionnée dans `.env.example`) : un
|
|
# secret connu de quiconque lit le dépôt ne protège plus rien. Voir le
|
|
# contrôle dans `Settings.check_production_secrets`.
|
|
_DEV_JWT_SECRET = "dev-insecure-secret-change-me-please-32b"
|
|
_MIN_JWT_SECRET_LENGTH = 32
|
|
|
|
|
|
class Settings(BaseSettings):
|
|
"""Configuration applicative, alimentée par l'environnement."""
|
|
|
|
model_config = SettingsConfigDict(
|
|
env_file=".env", env_file_encoding="utf-8", extra="ignore"
|
|
)
|
|
|
|
environment: str = "development"
|
|
|
|
database_url: str = (
|
|
"postgresql+psycopg://benevoles:benevoles@localhost:5432/benevoles"
|
|
)
|
|
test_database_url: str = (
|
|
"postgresql+psycopg://benevoles:benevoles@localhost:5432/benevoles_test"
|
|
)
|
|
|
|
# Authentification (lien magique + session JWT). Secret >= 32 octets.
|
|
jwt_secret: str = _DEV_JWT_SECRET
|
|
magic_link_ttl_minutes: int = 30
|
|
session_ttl_hours: int = 12
|
|
|
|
# URL publique du frontend, pour construire les liens des emails.
|
|
public_base_url: str = "http://localhost:5173"
|
|
magic_link_path: str = "/connexion"
|
|
|
|
# Envoi d'emails (SMTP). Ne jamais mettre de vraies valeurs ici : elles
|
|
# vivent dans .env (non versionné) ou l'environnement.
|
|
# email_enabled=False ⇒ les envois sont seulement journalisés (dev, tests).
|
|
email_enabled: bool = False
|
|
smtp_host: str = "localhost"
|
|
smtp_port: int = 587
|
|
smtp_user: str = ""
|
|
smtp_password: str = ""
|
|
smtp_starttls: bool = True
|
|
smtp_ssl: bool = False
|
|
# Beaucoup de fournisseurs (OVH…) exigent une From = boîte authentifiée
|
|
# (ou un alias validé). En cas de rejet, mettre SMTP_FROM = SMTP_USER.
|
|
smtp_from: str = "Festival des bénévoles <no-reply@example.test>"
|
|
|
|
log_level: str = "INFO"
|
|
cors_origins: list[str] = ["http://localhost:5173"]
|
|
|
|
@property
|
|
def is_production(self) -> bool:
|
|
return self.environment == "production"
|
|
|
|
@model_validator(mode="after")
|
|
def check_production_secrets(self) -> "Settings":
|
|
"""Un secret JWT par défaut, vide ou trop court n'importe pas en dev
|
|
(confort), mais en production il permettrait de forger un jeton pour
|
|
n'importe quel compte (y compris COORDINATION) — donc de fabriquer
|
|
soi-même un jeton valide sans jamais s'authentifier. On refuse de
|
|
démarrer plutôt que de tourner silencieusement sans protection."""
|
|
if not self.is_production:
|
|
return self
|
|
if (
|
|
not self.jwt_secret
|
|
or self.jwt_secret == _DEV_JWT_SECRET
|
|
or len(self.jwt_secret) < _MIN_JWT_SECRET_LENGTH
|
|
):
|
|
raise ValueError(
|
|
"JWT_SECRET manquant, par défaut ou trop court (>= "
|
|
f"{_MIN_JWT_SECRET_LENGTH} caractères) en production. "
|
|
"Générer une vraie valeur : openssl rand -hex 32"
|
|
)
|
|
return self
|
|
|
|
|
|
@lru_cache
|
|
def get_settings() -> Settings:
|
|
return Settings()
|