Exercices — N11 Sécurité & Production

Ajoutez helmet() à une app Express. helmet configure automatiquement une quinzaine d'en-têtes HTTP de sécurité (CSP, X-Frame-Options, etc.). Installez avec npm install helmet puis appelez app.use(helmet()).

Configurez cors() avec une whitelist d'origines autorisées. Passez un objet de configuration avec origin: [...] contenant les URLs autorisées (ex: 'http://localhost:3000'). Utilisez app.use(cors({ origin: [...] })).

Configurez express-rate-limit sur toutes les routes : fenêtre de 15 minutes (windowMs: 15 * 60 * 1000), maximum 100 requêtes par IP (max: 100). Appliquez avec app.use(limiter).

Chargez les variables d'environnement depuis un fichier .env avec require('dotenv').config() (en première ligne), puis utilisez process.env.PORT comme port du serveur. Créez aussi un fichier .env avec PORT=3011.

Écrivez la fonction asyncHandler qui prend une fonction fn et retourne un middleware (req, res, next). Le middleware appelle Promise.resolve(fn(req, res, next)).catch(next) pour propager automatiquement les erreurs async vers Express.

Écrivez un middleware d'erreur avec 4 paramètres (err, req, res, next) qui : retourne le status 500 par défaut, affiche err.message en développement mais un message générique en production. Vérifiez process.env.NODE_ENV ou une variable isDev.

Créez le contenu d'un fichier .env.example avec au minimum : PORT, JWT_SECRET et NODE_ENV. Le fichier .env.example est commité dans git, pas .env. Ajoutez aussi des variables optionnelles utiles.

Vérifiez que toutes les variables requises existent dans process.env au démarrage. Si une variable est manquante, loggez une erreur et appelez process.exit(1) pour arrêter immédiatement le processus. Itérez avec forEach() sur un tableau de noms de variables.

Créez un middleware qui ajoute manuellement deux en-têtes de sécurité : X-Content-Type-Options: nosniff (empêche le MIME sniffing) et X-Frame-Options: DENY (empêche le clickjacking). Utilisez res.setHeader('Nom', 'Valeur') puis appelez next().

Configurez morgan('dev') pour logger les requêtes HTTP, mais uniquement en développement. Utilisez une condition if (process.env.NODE_ENV !== 'production') avant app.use(morgan('dev')).