# Panorama des headers de sécurité essentiels
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: geolocation=(), camera=(), microphone=()
Content-Security-Policy: default-src 'self'

# Rôle de chaque header
HSTS                  : force HTTPS pour toutes les requêtes futures, empêche le SSL stripping
X-Content-Type-Options: empêche le navigateur de "deviner" un type MIME différent (anti-XSS via upload)
X-Frame-Options        : empêche le site d'être chargé dans une <iframe> (anti-clickjacking)
Referrer-Policy         : limite les informations envoyées dans l'en-tête Referer vers d'autres sites
Permissions-Policy      : désactive les API navigateur sensibles non utilisées (caméra, géoloc...)

# Middleware FastAPI ajoutant les headers de sécurité sur toutes les réponses
from starlette.middleware.base import BaseHTTPMiddleware

class SecurityHeadersMiddleware(BaseHTTPMiddleware):
    async def dispatch(self, request, call_next):
        response = await call_next(request)
        response.headers["Strict-Transport-Security"] = "max-age=63072000; includeSubDomains; preload"
        response.headers["X-Content-Type-Options"] = "nosniff"
        response.headers["X-Frame-Options"] = "DENY"
        response.headers["Referrer-Policy"] = "strict-origin-when-cross-origin"
        response.headers["Permissions-Policy"] = "geolocation=(), camera=(), microphone=()"
        response.headers["Content-Security-Policy"] = (
            "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; "
            "img-src 'self' data: https:; connect-src 'self' https://api.technologik.local; "
            "object-src 'none'; base-uri 'self'; frame-ancestors 'none'"
        )
        return response

app.add_middleware(SecurityHeadersMiddleware)

# Anatomie d'une Content-Security-Policy (CSP)
default-src 'self'          : source par défaut pour toute ressource non explicitement listée
script-src 'self'            : scripts uniquement depuis le même domaine (bloque les scripts inline sans nonce)
style-src 'self' 'unsafe-inline' : styles depuis le domaine + inline autorisé (à éviter si possible)
img-src 'self' data: https:  : images locales, data URIs et toute source HTTPS
connect-src 'self' https://api.technologik.local : XHR/fetch/WebSocket limités à ces origines
object-src 'none'            : bloque <object>/<embed>/<applet> (vecteurs Flash historiques)
frame-ancestors 'none'       : équivalent moderne de X-Frame-Options, dans la CSP elle-même

<!-- CSP avec nonce pour autoriser des scripts inline spécifiques sans "unsafe-inline" global -->
<!-- Le nonce est généré aléatoirement à CHAQUE requête côté serveur -->
<script nonce="{{ csp_nonce }}">
  console.log("Ce script est autorisé car son nonce correspond au header CSP");
</script>

# Génération du nonce CSP par requête (FastAPI)
import secrets

@app.middleware("http")
async def csp_nonce_middleware(request: Request, call_next):
    nonce = secrets.token_urlsafe(16)
    request.state.csp_nonce = nonce
    response = await call_next(request)
    response.headers["Content-Security-Policy"] = (
        f"default-src 'self'; script-src 'self' 'nonce-{nonce}'; object-src 'none'"
    )
    return response

# Vérifier les headers de sécurité d'un site (audit rapide)
curl -sI https://technologik.local | grep -Ei "strict-transport|x-frame|x-content-type|content-security"

# Outils en ligne pour un audit complet (à lancer sur ses propres domaines)
# https://securityheaders.com
# https://observatory.mozilla.org

# Mode "report-only" pour tester une CSP sans casser le site en production
Content-Security-Policy-Report-Only: default-src 'self'; report-uri /csp-violation-report
# Le navigateur remonte les violations sans bloquer -> permet d'affiner la policy avant activation stricte