passe le portail en HTTPS sur syllabuslab.fr, avec en-têtes de sécurité et CSP

Certificat Let's Encrypt obtenu et renouvelé par certbot (authentificateur
nginx), expiration surveillée par Prometheus. TLS selon Mozilla v6.0
intermediate, HSTS, CSP stricte avec nonce sur l'application et adaptée
sur la vitrine, xterm.js servi par le portail. Page de statut prévue sur
status.syllabuslab.fr, administration de Grafana et Kuma par tunnel seul.

Corrige aussi une faille XSS dans la page de classe, la page /cours en
erreur depuis l'étape 8, et NodeSource relancé à chaque déploiement.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

ansible/roles/portail/templates/nginx-portail.conf.j2

@@ -1,8 +1,5 @@
-server {
-    listen 80;
-    listen [::]:80;
-    server_name _;
-
+# Géré par Ansible (rôle portail) — ne pas modifier à la main.
+{% macro bloc_portail() %}
     root {{ portail_dossier_app }}/public;
     index index.php;
 
@@ -36,4 +33,95 @@ server {
 
     access_log /var/log/nginx/portail-access.log;
     error_log /var/log/nginx/portail-error.log;
+{% endmacro %}
+{% if portail_https_actif %}
+# HTTP : tout part en HTTPS. Les noms connus gardent leur nom ; une requête
+# sur l'IP ou un nom inconnu est envoyée vers le domaine principal.
+server {
+    listen 80;
+    listen [::]:80;
+    server_name {{ portail_domaine }} {{ portail_domaines_alias | join(' ') }}{% if portail_statut_actif %} {{ portail_domaine_statut }}{% endif %};
+    server_tokens off;
+    # Dans une location (pas au niveau server) : la location exacte que
+    # certbot ajoute pour le défi ACME au renouvellement reste prioritaire.
+    location / {
+        return 301 https://$host$request_uri;
+    }
 }
+
+server {
+    listen 80 default_server;
+    listen [::]:80 default_server;
+    server_name _;
+    server_tokens off;
+    location / {
+        return 301 https://{{ portail_domaine }}$request_uri;
+    }
+}
+
+# www → domaine principal (une seule adresse canonique).
+server {
+    listen 443 ssl http2;
+    listen [::]:443 ssl http2;
+    server_name {{ portail_domaines_alias | join(' ') }};
+    server_tokens off;
+    include snippets/syllabus-tls.conf;
+    include snippets/syllabus-entetes.conf;
+    return 301 https://{{ portail_domaine }}$request_uri;
+}
+
+server {
+    listen 443 ssl http2 default_server;
+    listen [::]:443 ssl http2 default_server;
+    server_name {{ portail_domaine }};
+    server_tokens off;
+    include snippets/syllabus-tls.conf;
+    include snippets/syllabus-entetes.conf;
+{{ bloc_portail() }}
+}
+{% if portail_statut_actif %}
+
+# Page de statut publique d'Uptime Kuma, et RIEN d'autre : l'administration
+# (tableau de bord, /socket.io, /metrics…) reste accessible par tunnel SSH
+# uniquement. Chemins relevés dans server/routers/status-page-router.js.
+server {
+    listen 443 ssl http2;
+    listen [::]:443 ssl http2;
+    server_name {{ portail_domaine_statut }};
+    server_tokens off;
+    include snippets/syllabus-tls.conf;
+    include snippets/syllabus-entetes.conf;
+
+    location = / {
+        return 302 /status/{{ portail_statut_slug }};
+    }
+
+    location ~ ^/(status/[a-z0-9-]+$|api/status-page/|assets/|upload/|icon\.svg$|favicon\.ico$|apple-touch-icon[a-z0-9-]*\.png$|robots\.txt$) {
+        limit_except GET HEAD {
+            deny all;
+        }
+        proxy_pass http://127.0.0.1:{{ portail_port_uptime_kuma }};
+        proxy_set_header Host $host;
+        proxy_set_header X-Forwarded-For $remote_addr;
+        proxy_set_header X-Forwarded-Proto https;
+    }
+
+    location / {
+        return 404;
+    }
+
+    access_log /var/log/nginx/statut-access.log;
+    error_log /var/log/nginx/statut-error.log;
+}
+{% endif %}
+{% else %}
+# Avant le premier certificat : HTTP seul, avec les noms du domaine pour que
+# certbot (authentificateur nginx) trouve le bon bloc.
+server {
+    listen 80 default_server;
+    listen [::]:80 default_server;
+    server_name {{ portail_domaine }} {{ portail_domaines_alias | join(' ') }} _;
+    server_tokens off;
+{{ bloc_portail() }}
+}
+{% endif %}