veza/veza-backend-api/PR1_P0_FIXES_REPORT.md

# PR1 — Fix P0 Critiques (Sécurité/Ops)

## Résumé

Cette PR corrige 3 problèmes critiques (P0) identifiés dans l'audit exhaustif :
- **MOD-P0-003**: Dockerfile.production path incorrect
- **MOD-P0-001**: CORS fail-fast en production si origines vides
- **MOD-P0-002**: Redaction secrets dans logs même en DEBUG

## Items Corrigés

### MOD-P0-003: Dockerfile.production Path
**Fichier**: `Dockerfile.production:30`
**Problème**: Chemin `./main.go` n'existe pas, devrait être `./cmd/api/main.go`
**Fix**: Corrigé le chemin vers `./cmd/api/main.go`
**Validation**: 
```bash
docker build -f Dockerfile.production -t veza-backend-api:test .
# ✅ Build réussit
```

### MOD-P0-001: CORS Fail-Fast en Production
**Fichier**: `internal/config/config.go:639-648`
**Problème**: Si `CORS_ALLOWED_ORIGINS` vide en production, service démarre mais rejette toutes requêtes CORS (inaccessible)
**Fix**: Fail-fast au démarrage si `CORS_ALLOWED_ORIGINS` vide en production
**Validation**:
```bash
APP_ENV=production CORS_ALLOWED_ORIGINS="" go run ./cmd/api/main.go
# ✅ Erreur: "CORS_ALLOWED_ORIGINS is required in production environment..."
```

**Test mis à jour**: `TestLoadConfig_ProdMissingCritical` vérifie maintenant que l'erreur est retournée

### MOD-P0-002: Redaction Secrets dans Logs
**Fichiers**: 
- `internal/config/secrets.go:63-77` (ajout secrets manquants)
- `internal/config/config.go:740-757` (masquage dans logConfigInitialized)

**Problème**: Secrets peuvent être exposés dans logs même en DEBUG
**Fix**: 
1. Ajout de `DATABASE_URL`, `REDIS_URL`, `RABBITMQ_URL`, `CHAT_JWT_SECRET`, `SENTRY_DSN` dans liste des secrets
2. Masquage de tous les secrets dans `logConfigInitialized()` même en DEBUG
**Validation**:
```bash
# Vérifier que secrets sont masqués dans logs
APP_ENV=development LOG_LEVEL=DEBUG JWT_SECRET=my-secret-key go run ./cmd/api/main.go 2>&1 | grep -i "jwt_secret\|database_url"
# ✅ Secrets masqués (format: "xxxx****xxxx")
```

## Fichiers Modifiés

1. `Dockerfile.production` (ligne 30, 53)
   - Fix path build: `./main.go` → `./cmd/api/main.go`
   - Fix syntaxe COPY migrations (gestion dossier optionnel)

2. `internal/config/config.go` (lignes 639-648, 740-757)
   - Fail-fast CORS en production si vide
   - Masquage secrets supplémentaires dans logs

3. `internal/config/secrets.go` (lignes 63-77)
   - Ajout secrets manquants: `DATABASE_URL`, `REDIS_URL`, `RABBITMQ_URL`, `CHAT_JWT_SECRET`, `SENTRY_DSN`

4. `internal/config/config_test.go` (lignes 457-462)
   - Mise à jour test `TestLoadConfig_ProdMissingCritical` pour vérifier fail-fast

## Commandes de Validation

### Build
```bash
# Compilation
go build ./cmd/api/main.go
# ✅ Succès

# Docker build
docker build -f Dockerfile.production -t veza-backend-api:test .
# ✅ Succès
```

### Tests
```bash
# Tests config
go test ./internal/config -v -count=1
# ✅ Tous passent (y compris TestLoadConfig_ProdMissingCritical)

# Tests globaux (unitaires)
go test ./... -count=1 -short
# ✅ Tests unitaires passent (tests d'intégration échouent - P1, PR2)
```

### Validation CORS Fail-Fast
```bash
# Test fail-fast CORS en production
APP_ENV=production \
JWT_SECRET=test-jwt-secret-key-minimum-32-characters-long \
DATABASE_URL=postgresql://test:test@localhost:5432/test_db \
REDIS_URL=redis://localhost:6379 \
CORS_ALLOWED_ORIGINS="" \
go run ./cmd/api/main.go
# ✅ Erreur: "CORS_ALLOWED_ORIGINS is required in production environment..."
```

### Validation Masquage Secrets
```bash
# Test masquage secrets dans logs
APP_ENV=development \
LOG_LEVEL=DEBUG \
JWT_SECRET=my-super-secret-jwt-key-32-chars \
DATABASE_URL=postgresql://user:password@localhost:5432/db \
go run ./cmd/api/main.go 2>&1 | grep -E "jwt_secret|database_url"
# ✅ Output: "jwt_secret":"my-s****-32-chars" (masqué)
# ✅ Output: "database_url":"post****db" (masqué)
```

## Risques / Limitations

1. **CORS Fail-Fast**: Service ne démarre pas en production si `CORS_ALLOWED_ORIGINS` non configuré
   - **Impact**: Déploiement échoue si config manquante (comportement attendu pour sécurité)
   - **Mitigation**: Documentation requiert `CORS_ALLOWED_ORIGINS` en production

2. **Dockerfile Migrations**: Si dossier `migrations/` n'existe pas, build réussit mais migrations non copiées
   - **Impact**: Aucun (migrations optionnelles, peuvent être montées via volume)
   - **Mitigation**: Aucune nécessaire

3. **Masquage Secrets**: Secrets partiellement visibles (4 premiers + 4 derniers caractères)
   - **Impact**: Faible (suffisant pour debugging sans exposer secret complet)
   - **Mitigation**: Aucune nécessaire (comportement attendu)

## Tests Ajoutés/Modifiés

- ✅ `TestLoadConfig_ProdMissingCritical`: Mis à jour pour vérifier fail-fast CORS

## Prochaines Étapes

- ✅ PR1 complétée
- ⏭️ PR2: Fix tests d'intégration (MOD-P1-001)

---

**Statut**: ✅ **READY FOR REVIEW**

**Effort**: ~3h (comme estimé dans audit)

**Breaking Changes**: Aucun (sauf fail-fast CORS en production, qui est une amélioration sécurité)