Phase 2.1 : preparation au deploiement public

Rend une instance exposee sur Internet exploitable sans la transformer en
infrastructure : le produit reste local-first, sans compte et sans telemetrie.

Protection du service : limitation de debit en memoire par client et par
famille d'endpoint (health et ready jamais limites), interrupteur
SHARING_ENABLED, capacite maximale de partages, taille propre aux partages.
X-Forwarded-For n'est cru que si TRUST_PROXY_HEADERS l'autorise, et on lit alors
la derniere valeur, celle ajoutee par le proxy.

Expiration facultative des partages (24 h a 90 jours, ou jamais) : un lien
expire repond 410 et la page publique le dit, sans autre detail. Le proprietaire
peut prolonger ; aucune purge automatique.

Protection des liens non repertories : robots.txt, X-Robots-Tag et meta robots
sur /s/ et /api/, Referrer-Policy no-referrer sur tout le site, redaction des
jetons dans les journaux d'acces, share_token porte a 128 bits (les anciens
restent valides).

Schema gere par Alembic, applique au demarrage. Une base creee avant Alembic est
estampillee puis migree : verifie sur la base reelle de developpement, 4
partages inchanges et expires_at NULL.

Administration par CLI locale au conteneur (stats, liste, suppression, purge,
sauvegarde a chaud via l'API SQLite, restauration prudente) : aucune interface
/admin exposee.

Le jeton de gestion peut enfin etre exporte dans un fichier .openmind-share puis
reimporte depuis un autre navigateur, apres verification aupres du serveur. Il
n'est toujours jamais ajoute a un export .mmap.

Ajoute une page /privacy dont le texte est centralise, et corrige un bug trouve
en observant les logs : Alembic, lance dans le processus applicatif,
reappliquait la configuration de logs d'alembic.ini et desactivait les loggers
existants, ce qui faisait disparaitre les journaux d'acces.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/services/client_ip.py

@@ -0,0 +1,39 @@
+"""Identification du client pour la limitation de debit.
+
+Le point sensible : `X-Forwarded-For` est un en-tete que n'importe quel client
+peut ecrire. Le croire sans condition permettrait a un client direct de changer
+d'identite a chaque requete et de contourner toute limite.
+
+La confiance est donc explicite et desactivee par defaut
+(`TRUST_PROXY_HEADERS`). Quand elle est activee, on lit la DERNIERE valeur de
+`X-Forwarded-For` : un reverse proxy correctement configure ajoute l'adresse
+qu'il a reellement vue a la fin de la liste, tandis que les valeurs precedentes
+peuvent avoir ete forgees par le client. Cette lecture suppose un seul proxy
+directement devant OpenMind, ce qui correspond au deploiement documente.
+"""
+
+from __future__ import annotations
+
+from starlette.requests import Request
+
+FORWARDED_FOR = "x-forwarded-for"
+REAL_IP = "x-real-ip"
+
+UNKNOWN_CLIENT = "unknown"
+
+
+def resolve_client_ip(request: Request, *, trust_proxy_headers: bool) -> str:
+    if trust_proxy_headers:
+        forwarded = request.headers.get(FORWARDED_FOR)
+        if forwarded:
+            parts = [part.strip() for part in forwarded.split(",") if part.strip()]
+            if parts:
+                return parts[-1]
+        real_ip = request.headers.get(REAL_IP)
+        if real_ip and real_ip.strip():
+            return real_ip.strip()
+
+    client = request.client
+    if client and client.host:
+        return client.host
+    return UNKNOWN_CLIENT