Résilience aux réseaux lents et aux micro-coupures (ADR 0085)

.cargo/audit.toml

@@ -3,4 +3,7 @@
 # sqlx-macros référence sans l'activer : il n'est jamais compilé ici (vérifié
 # par `cargo tree -i rsa --target all`, vide). À retirer si rsa apparaît
 # dans l'arbre des dépendances.
-ignore = ["RUSTSEC-2023-0071"]
+# libsqlite3-sys 0.30 (CVE SQLite) : même cas, par sqlx-sqlite, jamais compilé
+# (`cargo tree -i libsqlite3-sys --target all`, vide). Le correctif demande
+# sqlx 0.9. À retirer si libsqlite3-sys apparaît dans l'arbre des dépendances.
+ignore = ["RUSTSEC-2023-0071", "RUSTSEC-2026-0459"]

crates/api/Cargo.toml

@@ -31,7 +31,7 @@ subtle = "2.6.1"
 thiserror = "2.0.21"
 tokio = { version = "1.53.1", features = ["macros", "rt-multi-thread", "signal", "time"] }
 tower = { version = "0.5.3", features = ["util"] }
-tower-http = { version = "0.7.1", features = ["cors", "limit", "set-header", "trace", "timeout"] }
+tower-http = { version = "0.7.1", features = ["compression-br", "compression-gzip", "cors", "limit", "set-header", "trace", "timeout"] }
 tracing = "0.1.44"
 tracing-subscriber = { version = "0.3.23", features = ["json", "env-filter"] }
 utoipa = { version = "6.0.0", features = ["uuid", "chrono"] }

crates/api/src/lib.rs

@@ -18,6 +18,7 @@ use std::sync::Arc;
 use axum::Router;
 use axum::http::{HeaderValue, Method, header};
 use sqlx::PgPool;
+use tower_http::compression::CompressionLayer;
 use tower_http::cors::{AllowOrigin, CorsLayer};
 use tower_http::limit::RequestBodyLimitLayer;
 use tower_http::set_header::SetResponseHeaderLayer;
@@ -57,6 +58,10 @@ pub fn routeur(etat: Arc<EtatApp>, origines: &[HeaderValue]) -> Router {
     routes
         .with_state(etat)
         .layer(RequestBodyLimitLayer::new(CORPS_MAX))
+        // Réponses compressées (gzip, brotli) selon `Accept-Encoding` : l'état complet
+        // revient à chaque commande, et pèse sur un réseau lent (ADR 0085). Les jetons
+        // voyagent en en-tête `Authorization`, jamais en cookie : rien pour BREACH.
+        .layer(CompressionLayer::new())
         .layer(cors)
         .layer(SetResponseHeaderLayer::overriding(
             header::CACHE_CONTROL,