Durcir la configuration pour une exposition publique sur VPS #52

New issue

Closed

opened 2026-06-25 02:22:14 +00:00 by Reliodas · 0 comments

Reliodas commented

2026-06-25 02:22:14 +00:00

Owner

Constat audit beta : le serveur a déjà validation de payloads, rate limit socket et CORS fermé en production. Pour une exposition publique, il manque une passe sécurité orientée exploitation.

Objectif : réduire les risques courants liés à un service Socket.IO public derrière reverse proxy.

Critères d acceptation :

configuration d origine autorisée explicite via variable d environnement ;
headers de sécurité HTTP adaptés au client statique ;
stratégie trust proxy documentée ;
limites de taille et fréquence vérifiées pour les événements critiques ;
revue du stockage local des tokens de reconnexion et de leur durée de vie ;
logs de rejet exploitables côté serveur sans divulguer de secrets ;
tests ou checklist sécurité documentée.

Constat audit beta : le serveur a déjà validation de payloads, rate limit socket et CORS fermé en production. Pour une exposition publique, il manque une passe sécurité orientée exploitation. Objectif : réduire les risques courants liés à un service Socket.IO public derrière reverse proxy. Critères d acceptation : - configuration d origine autorisée explicite via variable d environnement ; - headers de sécurité HTTP adaptés au client statique ; - stratégie trust proxy documentée ; - limites de taille et fréquence vérifiées pour les événements critiques ; - revue du stockage local des tokens de reconnexion et de leur durée de vie ; - logs de rejet exploitables côté serveur sans divulguer de secrets ; - tests ou checklist sécurité documentée.