Durcir la comparaison du HEALTH_TOKEN (timing-safe) #17

New issue

Open

opened 2026-08-15 20:11:13 +00:00 by maximus · 0 comments

maximus commented

2026-08-15 20:11:13 +00:00

Owner

Le controle actuel compare le token de lecture par auth !== + interpolation, ce qui fuit la longueur et le prefixe par le temps de reponse. Aligner sur le helper tokenMatches (timingSafeEqual sur empreintes SHA-256, longueurs toujours egales).

Fichiers concernes

index.js (modifier)

Depends on

aucune (le helper tokenMatches arrive avec #13 ; sinon l'ecrire ici)

Criteres d'acceptation

Le controle du HEALTH_TOKEN passe par tokenMatches()
Les longueurs sont egalisees par hachage avant comparaison — passer les chaines brutes a timingSafeEqual fuiterait la longueur
Les tests d'auth des quatre routes de lecture (#12) passent inchanges

Review caveats

SECURITE (MEDIUM) : cas reel documente sur fastify-bearer-auth (GHSA-376v-xgjx-7mfr) ou un timingSafeEqual mal utilise laisse deviner la longueur du token.

Decisions prises en planification

Sortie de la vague monitoring des postes : ce changement touche TOUS les chemins de lecture en production pour une raison etrangere a la feature. Le melanger rendrait impossible de dire ce qui a casse apres le redeploy manuel.
Creee sans milestone, status:ready : dette de securite tracee, a prendre quand tu veux.

Spec source

la-compagnie-maximus/spec-plan-monitoring-postes.md + spec-decisions-monitoring-postes.md (Issue 8)

Le controle actuel compare le token de lecture par `auth !== ` + interpolation, ce qui fuit la longueur et le prefixe par le temps de reponse. Aligner sur le helper `tokenMatches` (timingSafeEqual sur empreintes SHA-256, longueurs toujours egales). ## Fichiers concernes - `index.js` (modifier) ## Depends on - aucune (le helper `tokenMatches` arrive avec #13 ; sinon l'ecrire ici) ## Criteres d'acceptation - [ ] Le controle du `HEALTH_TOKEN` passe par `tokenMatches()` - [ ] Les longueurs sont egalisees par hachage avant comparaison — passer les chaines brutes a `timingSafeEqual` fuiterait la longueur - [ ] Les tests d'auth des quatre routes de lecture (#12) passent inchanges ## Review caveats - SECURITE (MEDIUM) : cas reel documente sur `fastify-bearer-auth` (GHSA-376v-xgjx-7mfr) ou un `timingSafeEqual` mal utilise laisse deviner la longueur du token. ## Decisions prises en planification - Sortie de la vague monitoring des postes : ce changement touche TOUS les chemins de lecture en production pour une raison etrangere a la feature. Le melanger rendrait impossible de dire ce qui a casse apres le redeploy manuel. - Creee sans milestone, `status:ready` : dette de securite tracee, a prendre quand tu veux. ## Spec source la-compagnie-maximus/spec-plan-monitoring-postes.md + spec-decisions-monitoring-postes.md (Issue 8)