Sécurité — WAF, TLS, Accès, Antivirus

Ce dossier regroupe toutes les configurations et outils de protection des services Talas.

Stack de sécurité déployée

Composant	Rôle	Serveur
WireGuard	VPN d'accès aux serveurs + exposition des services sur Internet	R720 #1
HAProxy	Reverse proxy, terminaison TLS, routage vers les services	R720 #1
Let's Encrypt	Certificats TLS automatiques via certbot	R720 #1

Flux : Internet → Fibre Orange → WireGuard/port forward → HAProxy (TLS + WAF) → services

Pas de Cloudflare, pas de Tailscale, pas de CDN tiers. 100% self-hosted.

Composant	Rôle
Coraza WAF	Web Application Firewall open source, intégré à HAProxy
OWASP CRS	Core Rule Set — règles de détection SQLi, XSS, path traversal, etc.

Configuration :

Composant	Rôle
JumpServer	Bastion SSH/RDP open source

Fonctionnalités :

Sécurité implémentée dans le code Veza (voir 03_APPS_&_SERVICES/ARCHITECTURE_VEZA) :

Mécanisme	Description
JWT RS256	Authentification par tokens asymétriques (avec fallback HS256)
CSRF tokens	Stockés dans Redis, obligatoires en production sur tous les POST/PUT/DELETE
Rate limiting	Global : 1000 req/s. Par IP : 100 req/s. Par endpoint : variable.
ClamAV	Scan antivirus de tous les fichiers uploadés (port 13310)
Bcrypt	Hash des mots de passe
AES-256-GCM	Chiffrement des tokens OAuth
WebAuthn/Passkeys	Authentification sans mot de passe
MFA TOTP	Double authentification par application
Verrouillage de compte	Après N tentatives échouées (Redis ou in-memory)
Audit logging	Log automatique de tous les POST/PUT/DELETE
Security headers	HSTS, CSP, X-Content-Type-Options, X-Frame-Options

Usage	Description
Clés SSH	Générées et stockées dans Vault, distribuées automatiquement
Tokens API	Rotation via Vault
Mots de passe DB	Stockage sécurisé

Rôle Ansible : ssh-keygen-and-store (génération → Vault → distribution)

Rôle	Description
`haproxy`	Reverse proxy + Coraza WAF + TLS
`ssh-keygen-and-store`	Génération de clés SSH + stockage Vault
`nftables`	Règles de filtrage réseau