cda9a7a8ff
H1 — trusted_proxies RFC-1918 dans framework.yaml : rate limiting
opérationnel derrière Traefik (IP client réelle, pas IP Traefik)
H2 — En-têtes HTTP dans Caddyfile : X-Frame-Options DENY,
X-Content-Type-Options nosniff, Referrer-Policy, Permissions-Policy,
suppression header Server
H3 — API Platform docs désactivés en when@prod (Swagger UI, ReDoc)
M1 — Rate limiter sur DELETE /api/push/subscribe (manquant)
M2 — Validation FILTER_VALIDATE_URL sur endpoint push avant stockage
M3 — APP_ENV=prod dans backend/.env (était dev — risque si .env.local absent)
M4 — Limite 4096 octets sur le body JSON (FeedbackController + PushController)
M5 — Service Worker : open redirect corrigé (targetUrl validé contre l'origine)
B1 — robots.txt créé (bloque /api/ et /bundles/)
B3 — --time-limit=3600 sur les workers Messenger (rotation + libération mémoire)
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
27 lines
867 B
YAML
27 lines
867 B
YAML
# see https://symfony.com/doc/current/reference/configuration/framework.html
|
|
framework:
|
|
secret: '%env(APP_SECRET)%'
|
|
|
|
# Note that the session will be started ONLY if you read or write from it.
|
|
session: true
|
|
|
|
# Derrière Traefik (RFC-1918) — nécessaire pour que getClientIp() retourne
|
|
# l'IP réelle du client et non l'IP interne du reverse proxy.
|
|
# Sans ça, le rate limiting est inopérant (tous les clients partagent l'IP Traefik).
|
|
trusted_proxies: '127.0.0.1,10.0.0.0/8,172.16.0.0/12,192.168.0.0/16'
|
|
trusted_headers:
|
|
- 'x-forwarded-for'
|
|
- 'x-forwarded-host'
|
|
- 'x-forwarded-proto'
|
|
- 'x-forwarded-port'
|
|
- 'x-forwarded-prefix'
|
|
|
|
#esi: true
|
|
#fragments: true
|
|
|
|
when@test:
|
|
framework:
|
|
test: true
|
|
session:
|
|
storage_factory_id: session.storage.factory.mock_file
|