Name: Bootswatch Free Animation Thingsboard Solutions
Brand: valerielavignelife.com
SKU: SKU-2B26A040
Availability: InStock
Rating: 4.6 (63823 reviews)
@@ -79,7 +79,9 @@ Actions réalisées :
 5.**Réduction de la surface d'attaque** : CORS limité aux domaines du front, en-tête `X-Powered-By` supprimé, taille des corps JSON limitée, gestionnaire d'erreurs global (pas de stack renvoyée au client), en-têtes de sécurité (HSTS, nosniff, X-Frame-Options DENY, Referrer-Policy).
 6.**Conteneurs** : images `node:22-alpine` exécutées avec l'utilisateur non-root `node`, `npm ci --omit=dev`, `HEALTHCHECK` intégré.
 7.**Dépendances** : `npm audit fix` sur tous les services, montée de version de nodemailer (6 → 10). Résultat : 0 vulnérabilité *high* ou *critical* sur les services Node. Contrôle automatisé dans la CI.
-8.**Protection des déploiements Vercel** : les URL techniques `*.vercel.app` restent protégées par l'authentification Vercel, seuls les domaines personnalisés sont publics.
+8.**Secrets côté hébergeur** : variables Vercel de type *Secret* (illisibles après enregistrement), séparées par environnement (*Production* / *Preview* limité à la branche `develop`). Les variables non sensibles (URL, CORS, niveau de log) sont de type *Config*. `[capture: variables d'environnement Vercel]`
+9.**Protection des déploiements** : l'authentification Vercel a été désactivée sur la préproduction afin que les correcteurs puissent y accéder ; la préprod ne contient que des données de test et les routes sensibles restent protégées (JWT, CORS, clé interne).
+10.**Bases initialisées** : seed des bases `exam1_preprod` et `exam1_prod` (5 produits + 1 compte admin, mot de passe différent par environnement, haché bcrypt).
 
 ---
 
@@ -96,8 +98,18 @@ Actions réalisées :
 | Notifications |`notifications.guevel-shop.xyz`|`notifications-preprod.guevel-shop.xyz`|
 | Stock |`stock.guevel-shop.xyz`|`stock-preprod.guevel-shop.xyz`|
 
-- Zone DNS chez Hostinger : `A @ → 76.76.21.21`, `CNAME www → cname.vercel-dns.com`, `CNAME * → cname.vercel-dns.com`. `[capture: zone DNS]`
-- Certificats : émis automatiquement par Vercel (Let's Encrypt) pour chaque sous-domaine, renouvellement automatique. *(vérification à compléter)*
+- Zone DNS chez Hostinger (serveurs DNS Hostinger conservés), TTL 3600 :
+
+| Type | Nom | Valeur | Rôle |
+|---|---|---|---|
+| A |`@`|`76.76.21.21`| Domaine racine → réseau Vercel |
+| CNAME |`www`|`cname.vercel-dns.com`|`www` → Vercel (redirection 308 vers la racine) |
+| CNAME |`*`|`cname.vercel-dns.com`| Tous les sous-domaines (api, preprod, gateway…) → Vercel |
+
+`[capture: zone DNS Hostinger]`
+- Chaque domaine est rattaché à son projet Vercel ; les domaines de préproduction sont liés à la branche `develop` (*Git branch domain*).
+-**Certificats** : émis automatiquement par Vercel (Let's Encrypt, challenge HTTP-01) pour chaque sous-domaine, renouvellement automatique.
+-**Vérification** (`curl`) : certificat valide (`ssl_verify_result=0`) sur tous les domaines ; `https://www.guevel-shop.xyz` → `308` vers `https://guevel-shop.xyz` ; en-tête HSTS présent. `[capture: cadenas navigateur + détail du certificat]`
 
 ---
 
@@ -118,8 +130,9 @@ Sur chaque push et pull request vers `main` / `develop` :
 -`develop` → déploiement automatique en **préproduction** ; `main` → **production**.
 - Un service n'est reconstruit que si son dossier a changé depuis son dernier déploiement réussi (`ignoreCommand` basé sur `VERCEL_GIT_PREVIOUS_SHA`) : monorepo de 5 projets sans builds inutiles.
 - Flux : feature → `develop` (préprod, recette) → pull request vers `main` (CI verte obligatoire) → production.
-
-*(captures des déploiements à ajouter)*
+- Mise en œuvre réelle : PR [#1](https://github.com/Ultrax92/guevel-shop/pull/1)`develop → main`, contrôles GitHub Actions et Vercel verts avant fusion. Seul le service modifié (API) a été reconstruit, les autres ont été ignorés automatiquement. `[capture: PR #1 et ses checks]`
+- Chaque `/health` expose la version déployée (`version` = commit), ce qui permet de vérifier d'un coup d'œil ce qui tourne en préprod et en prod.
+- Incident rencontré : à la création des projets, le tout premier déploiement (issu de `develop`) a été classé en *production* par Vercel. Correction : branche de production fixée à `main`, déploiements fautifs annulés, puis redéploiement. Les déploiements `develop` sont désormais bien en *Preview*. `[capture: liste des déploiements Vercel]`
 
 ---
 
@@ -129,16 +142,18 @@ Sur chaque push et pull request vers `main` / `develop` :
 -**Log d'accès HTTP** : méthode, URL, code de statut, durée (sans corps ni en-têtes sensibles).
 -**Journal d'audit** (`audit: true`) : connexions réussies et échouées, inscriptions, changements de statut de commande (avec l'identifiant de l'admin), appels internes refusés.
 -**Suppression des données sensibles des logs** : plus aucun mot de passe, hash, token ni URI de base.
+-**Journal d'audit persistant** : chaque action sensible est aussi écrite dans la collection MongoDB `auditlogs` (action, niveau, utilisateur, IP réelle du client, environnement, date), avec une expiration automatique à 90 jours (index TTL). Les logs Vercel de l'offre Hobby ne sont conservés que peu de temps : l'audit reste ainsi consultable. Consultation réservée aux admins : `GET /api/audit?limit=50` (401 sans token, 403 pour un user). `[capture: réponse /api/audit]`
+-**Centralisation** : Vercel Runtime Logs regroupe par projet et par environnement les logs JSON de toutes les fonctions, avec filtres par niveau, domaine et branche. Exemple réel en préprod : les entrées `Audit: connexion réussie`, `Commande créée` et `Échec de l'envoi de la notification` y apparaissent. `[capture: Runtime Logs Vercel]`
 - Audit d'infrastructure : historique des déploiements Vercel, historique Git et des workflows GitHub, journal d'activité Atlas.
 
-*(outil de centralisation des logs à compléter)*
-
 ---
 
 ## E26 — Supervision et alertes
 
-- Sondes `/health` sur chaque service (le backend vérifie aussi la connexion MongoDB : 200 si la base répond, 503 sinon).
--*(à compléter : moniteurs UptimeRobot ou Better Stack sur les deux environnements, alertes e-mail)*
+- Sondes `/health` sur chaque service, qui renvoient `status`, `service`, `env` et `version`. Le backend envoie en plus un vrai `ping` à MongoDB : 200 si la base répond, 503 sinon.
+- Test de panne en local : arrêt du conteneur Mongo → `/health` passe en 503 `degraded`, puis revient automatiquement en 200 après redémarrage (reconnexion automatique).
+- Faux positif corrigé : au réveil d'une instance serverless, l'ancien contrôle (`readyState`) signalait `db: down` pendant la reconnexion. Il est remplacé par un `ping` réel, pour éviter les fausses alertes.
+-*(moniteurs UptimeRobot sur les deux environnements + alertes e-mail : en cours)*
 
 ---
 
@@ -151,6 +166,8 @@ Sur chaque push et pull request vers `main` / `develop` :
 | 3 |`docker-compose.yml` : ports faux, gateway absent |`docker-compose.yml`| Réécriture complète | ✅ |
 | 4 | Build Vercel en échec (warning ESLint `setError` inutilisé) |`frontend/src/pages/Register.js`| Message d'erreur affiché dans le formulaire | ✅ |
 | 5 | Accès admin et dump absents |`backend/seeder.js`| Création du premier admin à partir des variables d'environnement | ✅ |
+| 6 | Identifiants SMTP fournis refusés par Gmail (`535 BadCredentials`) | configuration | Mot de passe d'application Gmail du candidat, stocké en *Secret* Vercel | ⏳ |
+| 7 |`/health` : faux « db: down » au réveil d'une instance serverless |`backend/app.js`|`ping` MongoDB réel | ✅ |
 | … |*(suite en session 2)*||||
 
 ---
 
@@ -7,6 +7,8 @@ const logger = require('./config/logger');
 
 constapp=express();
 app.disable('x-powered-by');
+// Derrière le proxy Vercel / Nginx : req.ip = IP réelle du client (X-Forwarded-For du premier proxy)
+app.set('trust proxy',1);
 
 // CORS restreint aux fronts autorisés (liste séparée par des virgules)
 constallowedOrigins=(process.env.CORS_ORIGINS||'http://localhost:3000')
@@ -62,6 +64,7 @@ app.use(async (req, res, next) => {
 app.use('/api/products',require('./routes/productRoutes'));
 app.use('/api/orders',require('./routes/orderRoutes'));
 app.use('/api/auth',require('./routes/authRoutes'));
+app.use('/api/audit',require('./routes/auditRoutes'));
 
 app.use((req,res)=>res.status(404).json({message: 'Ressource introuvable'}));
 
 
@@ -3,6 +3,7 @@ const jwt = require('jsonwebtoken');
 constbcrypt=require('bcryptjs');
 constUser=require('../models/User');// modèle utilisateur
 constlogger=require('../config/logger');
+const{ audit }=require('../services/auditService');
 //const sendEmail = require('../services/emailService');
 
 // Ne jamais journaliser de mot de passe, de hash ou de token
@@ -12,18 +13,18 @@ exports.login = async (req, res) => {
 try{
 constuser=awaitUser.findOne({ username });
 if(!user){
-logger.warn('Audit: échec de connexion (utilisateur inconnu)',{audit: true, username });
+awaitaudit(req,'échec de connexion (utilisateur inconnu)',{level: 'warn', username });
 returnres.status(400).json({message: 'Utilisateur non trouvé'});
 }
 
 constisMatch=awaitbcrypt.compare(password,user.password);
 if(!isMatch){
-logger.warn('Audit: échec de connexion (mot de passe)',{audit: true, username });
+awaitaudit(req,'échec de connexion (mot de passe)',{level: 'warn',actorId: user._id, username });
 returnres.status(400).json({message: 'Mot de passe incorrect'});
 }
 
 consttoken=jwt.sign({userId: user._id,role: user.role},process.env.JWT_SECRET,{expiresIn: '1h'});
-logger.info('Audit: connexion réussie',{audit: true,userId: user._id.toString(),role: user.role});
+awaitaudit(req,'connexion réussie',{actorId: user._id,username: user.username,details: {role: user.role}});
 
 res.json({ token,role: user.role,username: user.username});
 }catch(error){
@@ -48,7 +49,7 @@ exports.register = async (req, res) => {
 constuser=newUser({ username, email, password });
 awaituser.save();
 
-logger.info('Audit: nouvel utilisateur inscrit',{audit: true,userId: user._id.toString()});
+awaitaudit(req,'nouvel utilisateur inscrit',{actorId: user._id,username: user.username});
 
 // Envoyer un email de bienvenue
 // await sendEmail(
 
@@ -2,6 +2,7 @@
 constOrder=require('../models/Order');
 constlogger=require('../config/logger');
 const{ sendNotification }=require('../services/notificationService');
+const{ audit }=require('../services/auditService');
 
 
 exports.createOrder=async(req,res)=>{
@@ -175,7 +176,7 @@ exports.updateOrderStatus = async (req, res) => {
 returnres.status(404).json({message: "Commande non trouvée."});
 }
 
-logger.info('Audit: statut de commande modifié',{audit: true,orderId, status,by: req.user.userId});
+awaitaudit(req,'statut de commande modifié',{actorId: req.user.userId,details: {orderId, status}});
 res.status(200).json({message: "Statut mis à jour avec succès", order });
 }catch(error){
 logger.error('Erreur lors de la mise à jour de la commande',{ orderId,error: error.message});
 
@@ -1,5 +1,6 @@
 // controllers/productController.js
 constProduct=require('../models/Product');
+const{ audit }=require('../services/auditService');
 
 exports.getProducts=async(req,res)=>{
 constproducts=awaitProduct.find();
@@ -24,6 +25,7 @@ exports.updateProductStock = async (req, res) => {
 product.updatedAt=Date.now();
 
 awaitproduct.save();
+awaitaudit(req,'stock produit modifié',{actorId: req.user.userId,details: { productId, stock }});
 
 res.json({message: "Stock mis à jour avec succès.", product });
 }catch(error){
 
@@ -0,0 +1,16 @@
+// backend/models/AuditLog.js
+// Journal d'audit persistant : qui a fait quoi, quand, depuis où (conservé 90 jours)
+constmongoose=require('mongoose');
+
+constauditLogSchema=newmongoose.Schema({
+action: {type: String,required: true},
+level: {type: String,enum: ['info','warn'],default: 'info'},
+actorId: {type: mongoose.Schema.Types.ObjectId,ref: 'User'},
+username: {type: String},
+details: {type: mongoose.Schema.Types.Mixed},
+ip: {type: String},
+env: {type: String},
+createdAt: {type: Date,default: Date.now,expires: 60*60*24*90},
+});
+
+module.exports=mongoose.model('AuditLog',auditLogSchema);
@@ -0,0 +1,20 @@
+// backend/routes/auditRoutes.js
+constexpress=require('express');
+constAuditLog=require('../models/AuditLog');
+const{ authenticateToken, isAdmin }=require('../middlewares/authMiddleware');
+
+constrouter=express.Router();
+
+// Consultation du journal d'audit (administrateurs uniquement) : ?limit=50&action=...
+router.get('/',authenticateToken,isAdmin,async(req,res,next)=>{
+try{
+constlimit=Math.min(parseInt(req.query.limit,10)||50,200);
+constfilter=typeofreq.query.action==='string' ? {action: req.query.action} : {};
+constlogs=awaitAuditLog.find(filter).sort({createdAt: -1}).limit(limit).lean();
+res.json(logs);
+}catch(error){
+next(error);
+}
+});
+
+module.exports=router;
@@ -0,0 +1,16 @@
+// services/auditService.js
+// Trace une action sensible dans les logs (Winston) ET dans la collection auditlogs (MongoDB)
+constAuditLog=require('../models/AuditLog');
+constlogger=require('../config/logger');
+
+exports.audit=async(req,action,{ level ='info', actorId, username, details }={})=>{
+constentry={ action, level, actorId, username, details,ip: req.ip,env: process.env.APP_ENV||'local'};
+logger[level](`Audit: ${action}`,{audit: true, ...entry});
+
+try{
+awaitAuditLog.create(entry);
+}catch(error){
+// L'échec d'écriture de l'audit ne doit pas bloquer l'action métier
+logger.error('Écriture du journal d\'audit impossible',{ action,error: error.message});
+}
+};
@@ -0,0 +1,50 @@
+// scripts/uptimerobot-setup.js
+// Crée les moniteurs UptimeRobot (préprod + prod) avec alerte e-mail.
+// Usage : node scripts/uptimerobot-setup.js (lit UPTIMEROBOT_API_KEY dans .env.uptimerobot, jamais affichée)
+constfs=require('fs');
+constpath=require('path');
+
+constenvFile=path.join(__dirname,'..','.env.uptimerobot');
+constapiKey=(fs.readFileSync(envFile,'utf8').match(/^UPTIMEROBOT_API_KEY=(.+)$/m)||[])[1]?.trim();
+if(!apiKey)thrownewError('UPTIMEROBOT_API_KEY absente de .env.uptimerobot');
+
+constDOMAIN='guevel-shop.xyz';
+constservices=['api','gateway','notifications','stock'];
+constmonitors=[];
+for(const[env,suffix]of[['PROD',''],['PREPROD','-preprod']]){
+monitors.push({name: `${env} - frontend`,url: `https://${suffix ? `preprod.${DOMAIN}` : DOMAIN}/`,type: 1});
+for(constsofservices){
+// Moniteur "mot-clé" : alerte si la sonde ne contient plus "status":"ok" (couvre aussi db down sur l'API)
+monitors.push({name: `${env} - ${s}`,url: `https://${s}${suffix}.${DOMAIN}/health`,type: 2,keyword: '"status":"ok"'});
+}
+}
+
+constcall=async(method,params)=>{
+constbody=newURLSearchParams({api_key: apiKey,format: 'json', ...params});
+constres=awaitfetch(`https://api.uptimerobot.com/v2/${method}`,{method: 'POST', body });
+returnres.json();
+};
+
+(async()=>{
+constcontacts=awaitcall('getAlertContacts',{});
+if(contacts.stat!=='ok')thrownewError(`getAlertContacts : ${JSON.stringify(contacts.error)}`);
+constalertContacts=contacts.alert_contacts.map((c)=>`${c.id}_0_0`).join('-');
+console.log(`Contacts d'alerte : ${contacts.alert_contacts.length}`);
+
+constexisting=awaitcall('getMonitors',{});
+constexistingUrls=newSet((existing.monitors||[]).map((m)=>m.url));
+
+for(constmofmonitors){
+if(existingUrls.has(m.url)){
+console.log(`déjà présent ${m.name}`);
+continue;
+}
+constparams={friendly_name: m.name,url: m.url,type: m.type,interval: 300,alert_contacts: alertContacts};
+if(m.type===2)Object.assign(params,{keyword_type: 2,keyword_case_type: 0,keyword_value: m.keyword});
+constr=awaitcall('newMonitor',params);
+console.log(`${r.stat==='ok' ? 'créé ' : 'ÉCHEC '}${m.name} -> ${m.url}${r.stat==='ok' ? '' : ' '+JSON.stringify(r.error)}`);
+}
+})().catch((e)=>{
+console.error(e.message);
+process.exit(1);
+});