passe le portail en HTTPS sur syllabuslab.fr, avec en-têtes de sécurité et CSP

Certificat Let's Encrypt obtenu et renouvelé par certbot (authentificateur
nginx), expiration surveillée par Prometheus. TLS selon Mozilla v6.0
intermediate, HSTS, CSP stricte avec nonce sur l'application et adaptée
sur la vitrine, xterm.js servi par le portail. Page de statut prévue sur
status.syllabuslab.fr, administration de Grafana et Kuma par tunnel seul.

Corrige aussi une faille XSS dans la page de classe, la page /cours en
erreur depuis l'étape 8, et NodeSource relancé à chaque déploiement.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

portail/tests/Feature/PagesPubliquesTest.php

@@ -0,0 +1,22 @@
+<?php
+
+use Illuminate\Support\Facades\Route;
+
+// Toutes les pages publiques sans paramètre doivent s'afficher : la page
+// /cours a été en erreur 500 de l'étape 8 à l'étape 12 sans que personne
+// ne le voie.
+test('chaque page publique s’affiche sans erreur', function () {
+    $pages = collect(Route::getRoutes())
+        ->filter(fn ($r) => in_array('GET', $r->methods(), true)
+            && $r->getName() !== null
+            && ! str_contains($r->uri(), '{')
+            && ! collect($r->gatherMiddleware())->contains(fn ($m) => is_string($m) && str_starts_with($m, 'auth')))
+        ->reject(fn ($r) => str_starts_with($r->uri(), 'horizon') || str_starts_with($r->uri(), '_') || $r->uri() === 'up');
+
+    expect($pages)->not->toBeEmpty();
+
+    $echecs = $pages->mapWithKeys(fn ($r) => [$r->uri() => $this->get('/'.ltrim($r->uri(), '/'))->getStatusCode()])
+        ->reject(fn ($code) => $code === 200);
+
+    expect($echecs->all())->toBe([]);
+});

portail/tests/Feature/PolitiqueSecuriteContenuTest.php

@@ -0,0 +1,48 @@
+<?php
+
+use App\Models\Eleve;
+
+function politique($reponse): array
+{
+    return collect(explode(';', $reponse->headers->get('Content-Security-Policy')))
+        ->mapWithKeys(function (string $d) {
+            $morceaux = preg_split('/\s+/', trim($d), 2);
+
+            return [$morceaux[0] => $morceaux[1] ?? ''];
+        })->all();
+}
+
+test("les pages de l'application ont une CSP stricte : pas de script en ligne sans le nonce", function () {
+    $eleve = Eleve::factory()->create();
+    $jeton = $eleve->demarreNouvelleSession();
+
+    $reponse = $this->withSession(['jeton_session_eleve' => $jeton])->actingAs($eleve, 'eleve')->get(route('eleve'));
+    $csp = politique($reponse);
+
+    expect($csp['script-src'])->toMatch("/^'self' 'nonce-[A-Za-z0-9+\\/=]+'$/")
+        ->and($csp['script-src'])->not->toContain('unsafe-inline')
+        ->and($csp['object-src'])->toBe("'none'")
+        ->and($csp['frame-ancestors'])->toBe("'none'");
+});
+
+test('la page de connexion est stricte aussi, la vitrine tolère les scripts en ligne', function () {
+    expect(politique($this->get(route('login')))['script-src'])->not->toContain('unsafe-inline')
+        ->and(politique($this->get(route('accueil')))['script-src'])->toContain("'unsafe-inline'");
+});
+
+test("chaque script de la page d'inscription porte le nonce de l'en-tête", function () {
+    $reponse = $this->get(route('register'));
+    preg_match("/'nonce-([^']+)'/", $reponse->headers->get('Content-Security-Policy'), $m);
+
+    preg_match_all('/<script\b[^>]*>/', $reponse->getContent(), $scripts);
+    expect($scripts[0])->not->toBeEmpty();
+    foreach ($scripts[0] as $balise) {
+        expect($balise)->toContain("nonce=\"{$m[1]}\"");
+    }
+});
+
+test('le rapport de violation est accepté sans jeton CSRF', function () {
+    $this->call('POST', route('csp.rapport'), [], [], [], ['CONTENT_TYPE' => 'application/csp-report'],
+        json_encode(['csp-report' => ['document-uri' => 'https://syllabuslab.fr/eleve?x=1', 'violated-directive' => 'script-src', 'blocked-uri' => 'inline']]))
+        ->assertNoContent();
+});

portail/tests/Reels/parcours-lab.py

@@ -9,8 +9,10 @@
 
 Usage (sur le serveur, après preparer-parcours.php) :
   sudo -u www-data python3 tests/Reels/parcours-lab.py
+  (PARCOURS_BASE=… pour viser une autre adresse que https://syllabuslab.fr)
 """
 import json
+import os
 import re
 import threading
 import time
@@ -18,7 +20,9 @@ import time
 import requests
 import websocket
 
-BASE = "http://127.0.0.1"
+# Depuis l'étape 12 : par le domaine, en HTTPS (cookies « secure »).
+BASE = os.environ.get("PARCOURS_BASE", "https://syllabuslab.fr")
+BASE_WS = re.sub(r"^http", "ws", BASE)
 ids = json.load(open("/tmp/parcours-identifiants.json"))
 seance = ids["seance_id"]
 
@@ -70,7 +74,7 @@ consoles = {}
 for url, nom in zip(re.findall(r"fetch\('(http[^']+/console)'", page), re.findall(r'data-onglet="\d+"[^>]*>([^<]+)<', page)):
     url = re.sub(r"^https?://[^/]+", BASE, url)
     jeton = eleve.post(url, headers={"X-CSRF-TOKEN": csrf}).json()["jeton"]
-    consoles[nom] = websocket.create_connection(f"ws://127.0.0.1/console/{jeton}", timeout=10)
+    consoles[nom] = websocket.create_connection(f"{BASE_WS}/console/{jeton}", timeout=10)
 
 
 def lire_jusqua(ws, motif, delai=15):