docs(backend): corrige la justification du CORP same-origin (no-cors, pas d'ingress)

fix(backend): ajoute l'en-tete Cross-Origin-Resource-Policy sur toutes les reponses
Merge pull request #147 from ineszang/test/integration-api-db-ml
2026-09-23 10:30:06 +02:00 · 2026-09-23 09:36:10 +02:00 · 2026-09-22 16:52:55 +02:00 · 2026-09-22 16:40:06 +02:00 · 2026-09-22 16:25:02 +02:00
4 changed files with 13 additions and 4 deletions
@@ -16,6 +16,9 @@ EN_TETES: Final[dict[str, str]] = {
    "X-Content-Type-Options": "nosniff",
    "X-Frame-Options": "DENY",
    "Referrer-Policy": "no-referrer",
+    # same-origin : aucun client ne charge l'API en no-cors depuis une autre origine
+    # (proxy.conf.json en dev, reverse proxy nginx ensuite, cf. docs/architecture/20-backend.md).
+    "Cross-Origin-Resource-Policy": "same-origin",
 }

 PREFIXE_AUTHENTIFICATION: Final = "/auth"
@@ -23,8 +23,9 @@ async def interroge(
        ("x-content-type-options", "nosniff"),
        ("x-frame-options", "DENY"),
        ("referrer-policy", "no-referrer"),
+        ("cross-origin-resource-policy", "same-origin"),
    ],
-    ids=["nosniff", "anti_iframe", "referrer"],
+    ids=["nosniff", "anti_iframe", "referrer", "corp"],
 )
 async def test_every_response_carries_the_security_headers(
    client: AsyncClient, entete: str, valeur: str
@@ -423,8 +423,13 @@ Le reste, par ordre de surface :
  écriture des journaux. C'est la troisième ligne de défense : la première est de ne rien passer
  de secret au logger, la deuxième de ne jamais mettre un jeton dans une URL.
 - En-têtes posés par l'application : `X-Content-Type-Options`, `X-Frame-Options`,
-  `Referrer-Policy`, plus `Cache-Control: no-store` sur `/auth/*`. HSTS et CSP appartiennent au
-  terminateur TLS, que l'application ne connaît pas : le reverse proxy les pose
+  `Referrer-Policy`, `Cross-Origin-Resource-Policy: same-origin`, plus `Cache-Control: no-store`
+  sur `/auth/*`. Le CORP est fixé à `same-origin` parce qu'aucun client légitime ne charge l'API
+  en `no-cors` (image, script, média) depuis une autre origine : le frontend l'appelle en relatif
+  (`/api/v1`), sur sa propre origine, via `proxy.conf.json` en dev et le reverse proxy nginx
+  (`infra/proxy/conf.d/enervision.conf`) en recette et en production. Les appels `HttpClient`, en
+  mode `cors`, n'y sont de toute façon pas soumis. HSTS et CSP appartiennent au terminateur TLS, que
+  l'application ne connaît pas : le reverse proxy les pose
  ([ADR 0007](../adr/0007-terminaison-tls-et-reverse-proxy-nginx.md)).
 - Le conteneur tourne en utilisateur non-root, avec un `HEALTHCHECK` sur `/api/v1/health/live`.
 - TLS, limitation de débit au frontal et journal d'accès sont portés par le reverse proxy.
@@ -39,7 +39,7 @@ lecture seule ; plusieurs lignes resteront à compléter une fois les endpoints
 | Cinq gardes de configuration qui refusent le démarrage plutôt que de dégrader silencieusement | `app/core/config.py` | A05 |
 | Documentation interactive fermée hors développement, `/metrics` derrière un jeton, sonde qui ne publie plus de version | `app/main.py`, `app/api/security.py` | A05 |
 | Scan dynamique OWASP ZAP de l'API authentifiée (compte `lecteur` jetable), non bloquant, configuration par défaut du backend uniquement (ni TLS ni en-têtes du reverse proxy) | `.github/workflows/dast.yml`, `scripts/dast-token.sh` | A05, API8 Security Misconfiguration |
-| En-têtes `nosniff`, `DENY`, `no-referrer`, et `no-store` sur les routes d'authentification | `app/api/middleware.py` | A05 |
+| En-têtes `nosniff`, `DENY`, `no-referrer`, `Cross-Origin-Resource-Policy: same-origin`, et `no-store` sur les routes d'authentification | `app/api/middleware.py` | A05 |
 | Refus de rétrograder ou désactiver le dernier administrateur actif | `app/services/user.py` | A04 Insecure Design |
 | Amorçage du premier administrateur hors dépôt, mot de passe jamais dans `argv` ni dans Git | `app/cli.py` | A02, A05 |
 | Réponse de l'API Mock bornée avant écriture : timeout, plafond de sites et de mesures, bornes physiques par grandeur, recopie des seuls champs attendus | `app/etl/mock_api_import.py` | API10 Unsafe Consumption of APIs |
Author	SHA1	Message	Date
Dorian	ac05da7001	docs(backend): corrige la justification du CORP same-origin (no-cors, pas d'ingress) Airflow / Construction de l'image (push) Successful in 1m17s Details Backend / Tests exigeant une base (push) Failing after 4m50s Details Backend / Analyse statique de sécurité (push) Successful in 7s Details Airflow / Lint et intégrité des DAGs (push) Successful in 9m34s Details Backend / Audit des dépendances (push) Successful in 9m36s Details Backend / Lint, typage et tests (push) Successful in 10m7s Details SonarQube / test-ml (push) Failing after 6m8s Details SonarQube / build-front (push) Successful in 10m15s Details SonarQube / build-back (push) Successful in 10m47s Details SonarQube / test-front (push) Failing after 5m13s Details SonarQube / test-back (push) Failing after 5m22s Details SonarQube / SonarQube (push) Skipped Details	2026-09-23 10:30:06 +02:00
Dorian	cfc194a3fb	fix(backend): ajoute l'en-tete Cross-Origin-Resource-Policy sur toutes les reponses	2026-09-23 09:36:10 +02:00
Johan LEROYandGitHub	59f050ec5e	Merge pull request #147 from ineszang/test/integration-api-db-ml test(ml,backend): tests d'intégration API ↔ DB ↔ ML, et surveillance de dérive	2026-09-22 16:52:55 +02:00
Johan LEROY	6e9c830557	Fusionne dev dans test/integration-api-db-ml Quatre conflits, tous additifs, nés du DAG `mock_api_import` (#146) arrivé sur `dev` pendant que cette branche ajoutait `derive` : la liste des DAGs du README, celle de la vue d'ensemble et du tableau d'infrastructure, et `DAG_IDS`/`TACHES` dans les tests d'intégrité. Les six DAGs sont conservés de part et d'autre. Collision que git ne voyait pas : `dev` a reçu un ADR 0011 et un 0012 (procédure de déploiement, état de la VM ENI) pendant que cette branche en ajoutait un autre sous le même numéro. L'ADR de la surveillance de dérive devient 0013, avec ses onze références, et la table de `docs/README.md` reprend les trois.	2026-09-22 16:40:06 +02:00
Johan LEROY	314e3b72c0	fix(ml,backend): corrige la revue, le typage du drapeau CSV et la portée du biais `load_from_csv` gardait un `astype(bool)` sur `is_working_hours`, joué avant `_typer` : une case vide du CSV arrivait en `NaN` et en ressortait `True`, soit une heure ouvrée inventée. Le chemin base était corrigé, pas celui-ci, et rien ne le couvrait. La ligne disparaît, et `_typer` ramène désormais les colonnes de `FLAG_COLUMNS` à `float64` quel que soit le contenu lu : sans cela le dtype dépendait de l'écriture du fichier (`0`/`1` contre `True`/`False`) et de la présence d'un trou, et l'égalité de schéma entre les deux chargeurs que promet ML-START n'était vraie que par accident du jeu de test. `Seuils.seuil_biais` valait `0` et `_verdict` exigeait `> 0` : la règle était inerte partout, CLI et DAG compris, et aucun test ne l'exerçait. Elle reste désactivée par défaut, parce qu'un seuil en kWh ne se transpose pas d'un bureau de 10 kWh à une usine de 1 000 kWh et qu'aucune valeur n'a été calibrée sur la vraie série, mais `--bias-threshold` la rend atteignable et l'ADR 0011 porte l'arbitrage. Trois tests couvrent le chemin : inerte par défaut, dérive au-delà du seuil réglé, et priorité de la MAE sur le biais. Deux lignes de doc devenues fausses au passage : la signature de `load_recent_from_database` dans ML-START, qui omettait `until` devenu obligatoire, et la ligne `bias` de 20-backend, qui laissait croire que la métrique décide du verdict.	2026-09-22 16:25:02 +02:00