securite: #87 T3 cookies Secure centralises + CORS atteste (defaut inchange)

2026-09-26 18:37:19 -04:00
parent 18b1e13f34
commit 34fce932cb
13 changed files with 105 additions and 19 deletions
@@ -13,6 +13,9 @@ OBSIGATE_ADMIN_PASSWORD=chab30
 # OBSIGATE_ALLOW_INSECURE=false

 # Sécurité des cookies (activer si derrière HTTPS)
+# false par défaut : les navigateurs ignorent les cookies `Secure` en HTTP,
+# ce qui casserait les logins en local. En production (TLS + bind réseau),
+# posez true — un avertissement est loggé au démarrage sinon (#87).
 # OBSIGATE_SECURE_COOKIES=false

 # Tokens TTL en secondes