fix: contre-audit du 29/09 (correctifs de securite, suite de tests de securite, documentation recalee) #197

Merged

Corentin merged 36 commits from docs/contre-audit into dev

2026-09-29 15:34:02 +02:00

Corentin commented

2026-09-29 15:27:59 +02:00

Owner

Contre-audit du 29/09 : correctifs de code en TDD, suite de tests de securite, documentation recalee.

Code

Modification d'un menu deja commande : emplacements reconcilies en place (409 au lieu d'une 500), appariement par type et nom puis position, lignes verrouillees, commande concurrente traduite en 409 (27671b0, e9f00d8).
Journal d'audit : un PIN faux n'ecrit plus l'adresse tapee (option A), migration 0019 de nettoyage (aa2a843).
En-tetes : Permissions-Policy, CSP du back-office avec base-uri et form-action, TraceEnable Off, /api/health sans php_version (08d7a96).
Sessions : role et session_epoch relus en base a chaque requete, aucune session sur /api, limite sur /forgot_password, sessions fermees apres reinitialisation, migration 0020 (ef7fd37).
Commandes : quantite 1 a 20, 50 lignes, 50 articles, types stricts, option indisponible refusee et grisee (fce3085, 33538c6).
Revue adversariale : purge et empreinte SHA-256 de password_reset_throttle (migration 0021), changement de mot de passe par l'admin qui ferme les sessions, disponibilite d'option par format, quantite stricte au comptoir, plafond de 20 a la borne (680820f, 186c5d7).
Page Sante : carte KPI qui ne deborde plus (c2b8c1c), reponses recapturees (fe8b738).

Tests

Suite de securite executable (14 fichiers security-*.spec.js, tests/e2e/run-security.sh, fiche de preuve 10).
Mesures sur copie figee : PHPUnit 2535 tests / 8716 assertions, 0 depreciation ; PHPStan 0 erreur ; JS 492 ; shell 47 assertions ; navigateur 202 reussis + 11 sautes (1 echec corrige par c2b8c1c, balayage rejoue 4807 verifications, 0 echec) ; securite 99 + 8 sautes, puis 4 et 4 ; accessibilite 19 ecrans, 934 mesures, 0 violation.

Documentation

Docs generales, conception (Merise, UML, domaines, errata dates dans les fiches de decision), soutenance (plan d'oral, diapositives, fiches de preuve), collections Postman/Bruno regenerees (91 requetes).

Rien ne touche Traefik.

Contre-audit du 29/09 : correctifs de code en TDD, suite de tests de securite, documentation recalee. ## Code - Modification d'un menu deja commande : emplacements reconcilies en place (409 au lieu d'une 500), appariement par type et nom puis position, lignes verrouillees, commande concurrente traduite en 409 (27671b0, e9f00d8). - Journal d'audit : un PIN faux n'ecrit plus l'adresse tapee (option A), migration 0019 de nettoyage (aa2a843). - En-tetes : Permissions-Policy, CSP du back-office avec base-uri et form-action, TraceEnable Off, /api/health sans php_version (08d7a96). - Sessions : role et session_epoch relus en base a chaque requete, aucune session sur /api, limite sur /forgot_password, sessions fermees apres reinitialisation, migration 0020 (ef7fd37). - Commandes : quantite 1 a 20, 50 lignes, 50 articles, types stricts, option indisponible refusee et grisee (fce3085, 33538c6). - Revue adversariale : purge et empreinte SHA-256 de password_reset_throttle (migration 0021), changement de mot de passe par l'admin qui ferme les sessions, disponibilite d'option par format, quantite stricte au comptoir, plafond de 20 a la borne (680820f, 186c5d7). - Page Sante : carte KPI qui ne deborde plus (c2b8c1c), reponses recapturees (fe8b738). ## Tests - Suite de securite executable (14 fichiers security-*.spec.js, tests/e2e/run-security.sh, fiche de preuve 10). - Mesures sur copie figee : PHPUnit 2535 tests / 8716 assertions, 0 depreciation ; PHPStan 0 erreur ; JS 492 ; shell 47 assertions ; navigateur 202 reussis + 11 sautes (1 echec corrige par c2b8c1c, balayage rejoue 4807 verifications, 0 echec) ; securite 99 + 8 sautes, puis 4 et 4 ; accessibilite 19 ecrans, 934 mesures, 0 violation. ## Documentation - Docs generales, conception (Merise, UML, domaines, errata dates dans les fiches de decision), soutenance (plan d'oral, diapositives, fiches de preuve), collections Postman/Bruno regenerees (91 requetes). Rien ne touche Traefik.

Corentin added 36 commits

2026-09-29 15:27:59 +02:00