securite: #87 T6-T8 fin dette — deps qualifiées, semgrep, Secure auto, CORS

.env.example

@@ -12,11 +12,12 @@ OBSIGATE_ADMIN_PASSWORD=chab30
 # (ex. 0.0.0.0) sauf si l'on force l'opt-in ci-dessous. À réserver au local.
 # OBSIGATE_ALLOW_INSECURE=false
 
-# Sécurité des cookies (activer si derrière HTTPS)
-# false par défaut : les navigateurs ignorent les cookies `Secure` en HTTP,
-# ce qui casserait les logins en local. En production (TLS + bind réseau),
-# posez true — un avertissement est loggé au démarrage sinon (#87).
-# OBSIGATE_SECURE_COOKIES=false
+# Sécurité des cookies : true|false|auto (défaut : auto — Secure si la
+# requête arrive en https, sinon pas de flag ; les navigateurs ignorent les
+# cookies `Secure` en HTTP, ce qui casserait les logins en local).
+# Derrière un reverse proxy qui termine TLS, auto suffit avec
+# OBSIGATE_TRUST_PROXY=true (X-Forwarded-Proto honoré).
+# OBSIGATE_SECURE_COOKIES=auto
 
 # Tokens TTL en secondes
 # OBSIGATE_ACCESS_TOKEN_TTL=31536000000  # 1000 ans