Phase 2.1 : preparation au deploiement public

Rend une instance exposee sur Internet exploitable sans la transformer en
infrastructure : le produit reste local-first, sans compte et sans telemetrie.

Protection du service : limitation de debit en memoire par client et par
famille d'endpoint (health et ready jamais limites), interrupteur
SHARING_ENABLED, capacite maximale de partages, taille propre aux partages.
X-Forwarded-For n'est cru que si TRUST_PROXY_HEADERS l'autorise, et on lit alors
la derniere valeur, celle ajoutee par le proxy.

Expiration facultative des partages (24 h a 90 jours, ou jamais) : un lien
expire repond 410 et la page publique le dit, sans autre detail. Le proprietaire
peut prolonger ; aucune purge automatique.

Protection des liens non repertories : robots.txt, X-Robots-Tag et meta robots
sur /s/ et /api/, Referrer-Policy no-referrer sur tout le site, redaction des
jetons dans les journaux d'acces, share_token porte a 128 bits (les anciens
restent valides).

Schema gere par Alembic, applique au demarrage. Une base creee avant Alembic est
estampillee puis migree : verifie sur la base reelle de developpement, 4
partages inchanges et expires_at NULL.

Administration par CLI locale au conteneur (stats, liste, suppression, purge,
sauvegarde a chaud via l'API SQLite, restauration prudente) : aucune interface
/admin exposee.

Le jeton de gestion peut enfin etre exporte dans un fichier .openmind-share puis
reimporte depuis un autre navigateur, apres verification aupres du serveur. Il
n'est toujours jamais ajoute a un export .mmap.

Ajoute une page /privacy dont le texte est centralise, et corrige un bug trouve
en observant les logs : Alembic, lance dans le processus applicatif,
reappliquait la configuration de logs d'alembic.ini et desactivait les loggers
existants, ce qui faisait disparaitre les journaux d'acces.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/middleware.py

@@ -35,11 +35,39 @@ SECURITY_HEADERS = {
 }
 
 
+# Chemins qui ne doivent jamais etre indexes : ils sont derriere un lien non
+# repertorie, ou ne sont pas des pages.
+NOINDEX_PREFIXES = ("/s/", "/api/")
+ROBOTS_TAG = "noindex, nofollow, noarchive"
+
+
 class SecurityHeadersMiddleware(BaseHTTPMiddleware):
+    """En-tetes de securite communs.
+
+    `Referrer-Policy: no-referrer` est applique a tout le site, pas seulement
+    aux pages de partage : une URL /s/<token> est une capacite de lecture, et
+    elle ne doit jamais partir dans l'en-tete Referer d'un site externe sur
+    lequel le lecteur cliquerait.
+    """
+
     async def dispatch(self, request: Request, call_next):  # type: ignore[no-untyped-def]
         response: Response = await call_next(request)
         for header, value in SECURITY_HEADERS.items():
             response.headers.setdefault(header, value)
+
+        path = request.url.path
+        if path.startswith("/assets/"):
+            # Les fichiers produits par Vite portent un hash de contenu dans leur
+            # nom : ils ne changent jamais sous une meme URL. index.html et sw.js,
+            # eux, restent en no-cache (voir web.py) pour qu'une mise a jour de
+            # l'application soit prise en compte au rechargement suivant.
+            response.headers.setdefault("Cache-Control", "public, max-age=31536000, immutable")
+
+        if path.startswith(NOINDEX_PREFIXES):
+            # robots.txt reste une simple convention : c'est le jeton qui
+            # autorise la lecture. Cet en-tete evite seulement qu'un lien
+            # partage se retrouve dans un index public.
+            response.headers.setdefault("X-Robots-Tag", ROBOTS_TAG)
         return response