Audit pass over the four apps: BEP 52, GDPR, PWA — and what probing the running stack found

.env.example

@@ -33,12 +33,22 @@ IMAGE_TAG=latest
 # Development (SSL disabled)
 DATABASE_URL=postgres://tracker:tracker@localhost:5432/trackarr
 
-# Production (SSL enforced - sslmode=require automatically added in nuxt.config.ts)
-# DATABASE_URL=postgres://tracker:STRONG_PASSWORD@pgbouncer:6432/trackarr
+# En production, `docker-compose.prod.yml` construit `DATABASE_URL` lui-même à
+# partir de DB_USER / DB_PASSWORD / DB_NAME : ne pas la renseigner ici.
+#
+# Ce bloc annonçait « sslmode=require automatically added in nuxt.config.ts ».
+# Deux erreurs : le calcul est dans `apps/api/nitro.config.ts`, et la valeur
+# qu'il produit (`runtimeConfig.databaseUrl`) N'EST LUE NULLE PART —
+# `packages/db/src/index.ts` lit `process.env.DATABASE_URL` directement. Rien
+# n'ajoute donc `sslmode=require` automatiquement. Sur le réseau interne de
+# Docker, TLS est délibérément coupé (`-c ssl=off` côté Postgres,
+# `sslmode=disable` dans la DSN) ; pour une base externe, mettre `DB_SSL=true`
+# et l'écrire dans la DSN soi-même.
 
 # Production database settings
 DB_USER=tracker
-# ⚠️  PRODUCTION: Generate with: openssl rand -base64 32
+# ⚠️  PRODUCTION: Generate with: openssl rand -hex 32
+#     (hex, pas base64 : un « / » dans le mot de passe casse la DSN)
 # Leave empty and let the stack refuse to start rather than ship a guessable
 # default. Generate one with the command block at the bottom of this file.
 DB_PASSWORD=
@@ -49,9 +59,15 @@ DB_PORT=5432
 DB_POOL_MAX=20
 
 # SSL/TLS for database connections
-# Development: SSL disabled for local testing
-# Production: SSL automatically enforced (see documentation/ssl-setup.md)
-# Generate certificates with: ./scripts/generate-ssl-certs.sh
+#
+# Coupé par défaut, y compris en production : la base n'est joignable que depuis
+# le réseau interne de Docker et n'est pas publiée. Pour une base EXTERNE ou
+# gérée, mettre `DB_SSL=true` et ajouter `?sslmode=require` à la DSN.
+#
+# (Les deux renvois qui figuraient ici — `documentation/ssl-setup.md` et
+# `./scripts/generate-ssl-certs.sh` — ne correspondent à aucun fichier du
+# dépôt.)
+DB_SSL=false
 
 # Debug mode (never enable in production)
 DB_DEBUG=false
@@ -214,10 +230,28 @@ MESSAGING_SERVICE_URL=/messaging
 #   echo "NUXT_SESSION_SECRET=$(openssl rand -hex 32)" >> .env
 #   echo "ADMIN_API_KEY=$(openssl rand -hex 32)" >> .env
 #   echo "IP_HASH_SECRET=$(openssl rand -hex 32)" >> .env
-#   echo "DB_PASSWORD=$(openssl rand -base64 24)" >> .env
-#   echo "REDIS_PASSWORD=$(openssl rand -base64 24)" >> .env
+# `-hex`, pas `-base64` : l'alphabet base64 contient « / », qui termine
+# l'autorité d'une URL. Le mot de passe est injecté dans
+# `postgres://tracker:<pass>@pgbouncer:6432/…`, donc deux mots de passe sur
+# cinq (mesuré : 0,395) produisaient une DSN illisible et une pile qui ne
+# joignait pas sa base, avec une erreur « Invalid URL » qu'aucune page de doc
+# ne relie au générateur. `doc/guide/local-production.md` employait déjà la
+# bonne forme.
+#   echo "DB_PASSWORD=$(openssl rand -hex 32)" >> .env
+#   echo "REDIS_PASSWORD=$(openssl rand -hex 32)" >> .env
 #   # Configure domains
 #   echo "DOMAIN=your-tracker.com" >> .env
 #   # Start
 #   docker compose -f docker-compose.prod.yml up -d
 
+# Hôtes autorisés pour le canal webhook, séparés par des virgules.
+#
+# L'URL d'un webhook est un champ de MEMBRE : chacun renseigne la sienne, sans
+# revue d'administrateur. `safeFetch` écarte déjà les plages privées, la boucle
+# locale et le lien-local, et re-valide chaque redirection — il reste une course
+# de réattachement DNS sous-milliseconde, qui demande un serveur DNS contrôlé.
+#
+# Vide (le défaut) = aucune restriction, comportement inchangé. Renseigné, seuls
+# ces hôtes et leurs sous-domaines sont joignables.
+#   WEBHOOK_ALLOW_HOSTS=discord.com,hooks.slack.com
+WEBHOOK_ALLOW_HOSTS=

.github/workflows/deploy-docs.yml

@@ -47,7 +47,13 @@ jobs:
       - name: Setup Node
         uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7.0.0
         with:
-          node-version: 20
+          # Node 24, comme `doc/Dockerfile` et comme les autres workflows.
+          # Ce travail était resté sur 20, en fin de vie depuis avril 2026 :
+          # la même documentation était donc construite sur deux runtimes,
+          # et le déploiement — qui a `pages: write` — tournait sur celui
+          # qui ne reçoit plus de correctif. Vérifié : `npm ci` puis
+          # `npm run build` passent en 24 (vitepress 1.6.4 demande >= 20).
+          node-version: 24
           cache: 'npm'
           cache-dependency-path: './doc/package-lock.json'
 

.github/workflows/docker.yml

@@ -110,6 +110,17 @@ jobs:
           tags: ${{ steps.meta.outputs.tags }}
           labels: ${{ steps.meta.outputs.labels }}
           platforms: linux/amd64
+          # Un SBOM et une attestation de provenance, attachés à l'image.
+          #
+          # Les images sont déjà signées par cosign en mode sans clé juste en
+          # dessous : la signature dit QUI a poussé, elle ne dit pas CE QUE
+          # l'image contient. Sur un projet que des opérateurs tiers installent,
+          # c'est la moitié qui manquait — un `syft`/`grype` sur l'image publiée
+          # n'avait rien à lire, et un avis de sécurité sur une dépendance
+          # transitive ne se recoupait pas avec les versions réellement
+          # embarquées.
+          sbom: true
+          provenance: mode=max
 
       - name: Sign the api image
         env:
@@ -165,6 +176,17 @@ jobs:
           tags: ${{ steps.meta.outputs.tags }}
           labels: ${{ steps.meta.outputs.labels }}
           platforms: linux/amd64
+          # Un SBOM et une attestation de provenance, attachés à l'image.
+          #
+          # Les images sont déjà signées par cosign en mode sans clé juste en
+          # dessous : la signature dit QUI a poussé, elle ne dit pas CE QUE
+          # l'image contient. Sur un projet que des opérateurs tiers installent,
+          # c'est la moitié qui manquait — un `syft`/`grype` sur l'image publiée
+          # n'avait rien à lire, et un avis de sécurité sur une dépendance
+          # transitive ne se recoupait pas avec les versions réellement
+          # embarquées.
+          sbom: true
+          provenance: mode=max
 
       - name: Sign the tracker image
         env:
@@ -226,6 +248,17 @@ jobs:
           tags: ${{ steps.meta.outputs.tags }}
           labels: ${{ steps.meta.outputs.labels }}
           platforms: linux/amd64
+          # Un SBOM et une attestation de provenance, attachés à l'image.
+          #
+          # Les images sont déjà signées par cosign en mode sans clé juste en
+          # dessous : la signature dit QUI a poussé, elle ne dit pas CE QUE
+          # l'image contient. Sur un projet que des opérateurs tiers installent,
+          # c'est la moitié qui manquait — un `syft`/`grype` sur l'image publiée
+          # n'avait rien à lire, et un avis de sécurité sur une dépendance
+          # transitive ne se recoupait pas avec les versions réellement
+          # embarquées.
+          sbom: true
+          provenance: mode=max
 
       - name: Sign the relay image
         env:
@@ -281,6 +314,17 @@ jobs:
           tags: ${{ steps.meta.outputs.tags }}
           labels: ${{ steps.meta.outputs.labels }}
           platforms: linux/amd64
+          # Un SBOM et une attestation de provenance, attachés à l'image.
+          #
+          # Les images sont déjà signées par cosign en mode sans clé juste en
+          # dessous : la signature dit QUI a poussé, elle ne dit pas CE QUE
+          # l'image contient. Sur un projet que des opérateurs tiers installent,
+          # c'est la moitié qui manquait — un `syft`/`grype` sur l'image publiée
+          # n'avait rien à lire, et un avis de sécurité sur une dépendance
+          # transitive ne se recoupait pas avec les versions réellement
+          # embarquées.
+          sbom: true
+          provenance: mode=max
 
       - name: Sign the front-ssr image
         env:
@@ -335,6 +379,17 @@ jobs:
           tags: ${{ steps.meta.outputs.tags }}
           labels: ${{ steps.meta.outputs.labels }}
           platforms: linux/amd64
+          # Un SBOM et une attestation de provenance, attachés à l'image.
+          #
+          # Les images sont déjà signées par cosign en mode sans clé juste en
+          # dessous : la signature dit QUI a poussé, elle ne dit pas CE QUE
+          # l'image contient. Sur un projet que des opérateurs tiers installent,
+          # c'est la moitié qui manquait — un `syft`/`grype` sur l'image publiée
+          # n'avait rien à lire, et un avis de sécurité sur une dépendance
+          # transitive ne se recoupait pas avec les versions réellement
+          # embarquées.
+          sbom: true
+          provenance: mode=max
 
       - name: Sign the front image
         env:
@@ -397,6 +452,17 @@ jobs:
           tags: ${{ steps.meta.outputs.tags }}
           labels: ${{ steps.meta.outputs.labels }}
           platforms: linux/amd64
+          # Un SBOM et une attestation de provenance, attachés à l'image.
+          #
+          # Les images sont déjà signées par cosign en mode sans clé juste en
+          # dessous : la signature dit QUI a poussé, elle ne dit pas CE QUE
+          # l'image contient. Sur un projet que des opérateurs tiers installent,
+          # c'est la moitié qui manquait — un `syft`/`grype` sur l'image publiée
+          # n'avait rien à lire, et un avis de sécurité sur une dépendance
+          # transitive ne se recoupait pas avec les versions réellement
+          # embarquées.
+          sbom: true
+          provenance: mode=max
           # Default base path is `/`, matching the standalone
           # docker-run usage. The GitHub Pages deploy
           # (deploy-docs.yml) keeps its own `/opentracker/` base

.github/workflows/docs-ci.yml

@@ -45,7 +45,13 @@ jobs:
       - name: Setup Node
         uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7.0.0
         with:
-          node-version: 20
+          # Node 24, comme `doc/Dockerfile` et comme les autres workflows.
+          # Ce travail était resté sur 20, en fin de vie depuis avril 2026 :
+          # la même documentation était donc construite sur deux runtimes,
+          # et le déploiement — qui a `pages: write` — tournait sur celui
+          # qui ne reçoit plus de correctif. Vérifié : `npm ci` puis
+          # `npm run build` passent en 24 (vitepress 1.6.4 demande >= 20).
+          node-version: 24
           cache: 'npm'
           cache-dependency-path: './doc/package-lock.json'
 

.github/workflows/relay-ci.yml

@@ -0,0 +1,128 @@
+# Go relay CI — vet, tests, and vulnerability scanning.
+#
+# The relay had NO workflow at all. It is a publicly reachable HTTP service
+# that verifies HMAC-signed bearer tokens and fans out SSE to every connected
+# member: nothing enforced that it still compiled, that its tests passed, or
+# that it was free of known vulnerabilities. `go build` inside
+# apps/relay/Dockerfile is not a gate — it runs after a release is already
+# published.
+#
+# That gap had a visible cost: `apps/relay/go.mod` sat on
+# `golang.org/x/sys v0.30.0` long after the tracker had moved to v0.47.0,
+# because no job ever ran `go mod tidy` or a vulnerability scan against it.
+#
+# Deliberately a copy of `tracker-ci.yml` rather than a shared reusable
+# workflow: the two modules pin different Go minors over time and have
+# different test shapes, and one file per module is what makes a red job point
+# straight at its module.
+name: Relay CI
+
+on:
+  push:
+    branches: [main]
+    paths:
+      - 'apps/relay/**'
+      - '.github/workflows/relay-ci.yml'
+  pull_request:
+    paths:
+      - 'apps/relay/**'
+      - '.github/workflows/relay-ci.yml'
+  # Advisories are published against code that hasn't changed, so the vuln
+  # scan can't only run on pushes. Monday morning, before anyone starts —
+  # staggered off the tracker's slot so the two don't queue against each other.
+  schedule:
+    - cron: '37 6 * * 1'
+  workflow_dispatch:
+
+permissions:
+  contents: read
+
+concurrency:
+  group: relay-ci-${{ github.ref }}
+  cancel-in-progress: true
+
+defaults:
+  run:
+    working-directory: apps/relay
+
+jobs:
+  test:
+    name: vet + test
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+        with:
+          # Test-only checkout — nothing is pushed back.
+          persist-credentials: false
+
+      - name: Set up Go
+        uses: actions/setup-go@b7ad1dad31e06c5925ef5d2fc7ad053ef454303e # v7
+        with:
+          # The minor, not `go-version-file`. The `go` directive in go.mod is a
+          # minimum language version (`go 1.26.0`) and setup-go treats a full
+          # x.y.z as an exact pin — which on the tracker built CI on go1.26.0
+          # and failed govulncheck on 19 stdlib vulnerabilities fixed in
+          # 1.26.1. Tracking the minor matches `golang:1.26-alpine` in the
+          # Dockerfile. Bump alongside the Dockerfile and the go.mod directive.
+          go-version: '1.26'
+          check-latest: true
+          cache-dependency-path: apps/relay/go.sum
+
+      # `gofmt -l` exits 0 even when it lists files, so the emptiness of its
+      # output is the assertion. `set -e` covers the other failure mode: on a
+      # file that does not parse, gofmt writes to stderr and exits non-zero
+      # while printing nothing on stdout.
+      - name: gofmt
+        run: |
+          set -euo pipefail
+          unformatted=$(gofmt -l .)
+          if [ -n "$unformatted" ]; then
+            echo "::error::gofmt would rewrite these files — run 'gofmt -w .' in apps/relay"
+            echo "$unformatted"
+            gofmt -d .
+            exit 1
+          fi
+
+      - name: go vet
+        run: go vet ./...
+
+      # -race is the point for this module: the hub subscribes and
+      # unsubscribes Redis channels from concurrent connection handlers while
+      # dispatching to a shared map of subscribers.
+      - name: go test -race
+        run: go test -race ./...
+
+      # `go.mod` drifting behind what the build actually resolves is how the
+      # x/sys gap survived. `git diff --exit-code` fails the job if tidy moves
+      # anything.
+      - name: go mod tidy is up to date
+        run: |
+          set -euo pipefail
+          go mod tidy
+          git diff --exit-code -- go.mod go.sum
+
+  govulncheck:
+    name: govulncheck
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+        with:
+          # Test-only checkout — nothing is pushed back.
+          persist-credentials: false
+
+      - name: Set up Go
+        uses: actions/setup-go@b7ad1dad31e06c5925ef5d2fc7ad053ef454303e # v7
+        with:
+          go-version: '1.26'
+          check-latest: true
+          cache-dependency-path: apps/relay/go.sum
+
+      - name: Install govulncheck
+        run: go install golang.org/x/vuln/cmd/govulncheck@latest
+
+      # The check Dependabot cannot do. Dependabot matches advisories against
+      # declared version ranges; govulncheck walks the call graph and only
+      # reports a vulnerability when a vulnerable symbol is actually reachable.
+      # It exits non-zero on a finding, which is what fails the job.
+      - name: govulncheck
+        run: govulncheck ./...