Mathias STRASSER
b9d9f48305
Implémente la Story 1.4 du système d'authentification avec plusieurs couches de protection contre les attaques par force brute. Sécurité backend : - Authentification JWT avec access token (15min) + refresh token (7j) - Rotation automatique des refresh tokens avec détection de replay - Rate limiting progressif par IP (délai Fibonacci après échecs) - Intégration Cloudflare Turnstile CAPTCHA après 5 tentatives - Alerte email à l'utilisateur après blocage temporaire - Isolation multi-tenant (un utilisateur ne peut se connecter que sur son établissement) Frontend : - Page de connexion avec feedback visuel des délais et erreurs - Composant TurnstileCaptcha réutilisable - Gestion d'état auth avec stockage sécurisé des tokens - Tests E2E Playwright pour login, tenant isolation, et activation Infrastructure : - Configuration Symfony Security avec json_login + jwt - Cache pools séparés (filesystem en test, Redis en prod) - NullLoginRateLimiter pour environnement de test (évite blocage CI) - Génération des clés JWT en CI après démarrage du backend
20 lines
694 B
YAML
20 lines
694 B
YAML
lexik_jwt_authentication:
|
|
secret_key: '%env(resolve:JWT_SECRET_KEY)%'
|
|
public_key: '%env(resolve:JWT_PUBLIC_KEY)%'
|
|
pass_phrase: '%env(JWT_PASSPHRASE)%'
|
|
token_ttl: 1800 # 30 minutes (Story 1.4 requirement)
|
|
# Use 'username' claim for user identification (email, set by Lexik from getUserIdentifier())
|
|
# This allows loadUserByIdentifier() to receive the email correctly
|
|
user_id_claim: username
|
|
clock_skew: 0
|
|
|
|
# Automatically extracts the token from cookies
|
|
token_extractors:
|
|
authorization_header:
|
|
enabled: true
|
|
prefix: Bearer
|
|
name: Authorization
|
|
cookie:
|
|
enabled: true
|
|
name: BEARER
|