Phase 2.1 : preparation au deploiement public

Rend une instance exposee sur Internet exploitable sans la transformer en
infrastructure : le produit reste local-first, sans compte et sans telemetrie.

Protection du service : limitation de debit en memoire par client et par
famille d'endpoint (health et ready jamais limites), interrupteur
SHARING_ENABLED, capacite maximale de partages, taille propre aux partages.
X-Forwarded-For n'est cru que si TRUST_PROXY_HEADERS l'autorise, et on lit alors
la derniere valeur, celle ajoutee par le proxy.

Expiration facultative des partages (24 h a 90 jours, ou jamais) : un lien
expire repond 410 et la page publique le dit, sans autre detail. Le proprietaire
peut prolonger ; aucune purge automatique.

Protection des liens non repertories : robots.txt, X-Robots-Tag et meta robots
sur /s/ et /api/, Referrer-Policy no-referrer sur tout le site, redaction des
jetons dans les journaux d'acces, share_token porte a 128 bits (les anciens
restent valides).

Schema gere par Alembic, applique au demarrage. Une base creee avant Alembic est
estampillee puis migree : verifie sur la base reelle de developpement, 4
partages inchanges et expires_at NULL.

Administration par CLI locale au conteneur (stats, liste, suppression, purge,
sauvegarde a chaud via l'API SQLite, restauration prudente) : aucune interface
/admin exposee.

Le jeton de gestion peut enfin etre exporte dans un fichier .openmind-share puis
reimporte depuis un autre navigateur, apres verification aupres du serveur. Il
n'est toujours jamais ajoute a un export .mmap.

Ajoute une page /privacy dont le texte est centralise, et corrige un bug trouve
en observant les logs : Alembic, lance dans le processus applicatif,
reappliquait la configuration de logs d'alembic.ini et desactivait les loggers
existants, ce qui faisait disparaitre les journaux d'acces.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/config.py

@@ -28,6 +28,32 @@ class Settings(BaseSettings):
     max_nodes: int = Field(default=5000, gt=0)
     max_title_length: int = Field(default=200, gt=0)
 
+    # --- Exploitation publique -------------------------------------------
+    # Instance entierement privee : le partage serveur peut etre coupe sans
+    # rien changer au fonctionnement local des cartes.
+    sharing_enabled: bool = True
+
+    # Limites de debit, au format "<nombre>/<fenetre>" : 10/hour, 120/minute,
+    # 5/second. Une valeur vide ou "0" desactive la limite concernee.
+    share_create_rate_limit: str = "10/hour"
+    share_read_rate_limit: str = "120/minute"
+    share_write_rate_limit: str = "60/hour"
+
+    # Nombre total de partages heberges. 0 = illimite.
+    max_shared_maps: int = Field(default=10000, ge=0)
+
+    # Taille maximale d'un partage. 0 = on retombe sur max_map_size_mb.
+    max_share_size_mb: float = Field(default=0.0, ge=0)
+
+    # Duree de vie par defaut d'un nouveau partage, en jours. 0 = permanent.
+    default_share_expiry_days: int = Field(default=30, ge=0)
+    # Autorise l'option "Jamais" dans l'interface et via l'API.
+    allow_permanent_shares: bool = True
+
+    # A n'activer que derriere un reverse proxy de confiance : sinon un client
+    # direct pourrait falsifier son adresse et contourner les limites de debit.
+    trust_proxy_headers: bool = False
+
     # Liste d'origines autorisees, separees par des virgules.
     # Vide = aucune origine externe (l'app est servie par ce meme serveur).
     cors_origins: str = ""
@@ -38,6 +64,17 @@ class Settings(BaseSettings):
     def max_map_size_bytes(self) -> int:
         return int(self.max_map_size_mb * 1024 * 1024)
 
+    @property
+    def max_share_size_bytes(self) -> int:
+        """Limite propre aux partages, bornee par la limite HTTP globale."""
+        if self.max_share_size_mb <= 0:
+            return self.max_map_size_bytes
+        return min(int(self.max_share_size_mb * 1024 * 1024), self.max_map_size_bytes)
+
+    @property
+    def max_share_size_mb_effective(self) -> float:
+        return self.max_share_size_bytes / (1024 * 1024)
+
     @property
     def cors_origin_list(self) -> list[str]:
         return [origin.strip() for origin in self.cors_origins.split(",") if origin.strip()]