fix(auth): enumeration, verrou, deconnexion en GET, redirection ouverte

Quatre constats de la liste des gains rapides, tous sur auth.py.

SEC-017 -- enumeration de comptes
Le formulaire repondait "il vous reste 3 tentative(s)" a un compte connu et
"verifiez le nom d utilisateur et le mot de passe" a un inconnu. Le decompte
lui-meme etait la fuite : la meme information, etalee sur cinq requetes.
S y ajoutait un ecart de temps de reponse, check_password n etant appele que
si la ligne existait -- scrypt est cher, l ecart est mesurable.

Un seul message pour tous les echecs, et la verification s execute
desormais sur les deux branches : contre un hachage aleatoire tire une fois
par processus quand l identifiant n existe pas.

SEC-018 -- verrou de compte declenchable par un tiers
Cinq mauvaises reponses mettaient un compte connu hors service pendant
quinze minutes, indefiniment renouvelables. Sur un compte president, c est
toute l administration, et aucun ecran ne permettait de defaire.

Le compteur et la fenetre restent -- ce sont la trace qu un administrateur
lit quand un compte est pilonne, et la fenetre double jusqu a un plafond.
Ce qui change : de bons identifiants passent, fenetre ouverte ou non, et
remettent le compteur a zero. Le proprietaire du compte ne peut plus etre
bloque par un tiers.

Ce que cela coute, dit franchement : un verrou dur n arretait de toute
facon pas un attaquant ayant trouve le mot de passe -- il lui suffisait
d attendre. Le debit de tentatives reste borne par la limite de 10/minute
par IP. Une limite par couple (compte, IP) demanderait un stockage dedie ;
elle attend Alembic.

L evenement account.locked devient account.throttled : "locked" affirmait
plus que ce qui se passe.

SEC-019 -- deconnexion en GET
/auth/logout n avait pas de methods, donc GET, donc hors protection CSRF :
n importe quelle page pouvait deconnecter un visiteur avec une balise img.
La route passe en POST et l entree de navigation devient un formulaire avec
jeton. Le style suit -- les regles .nav-links visaient les liens seuls.

SEC-020 -- validation de redirection
is_safe_url interrogeait urlparse().netloc. urlparse lit /\evil.com comme
un chemin, sans netloc ; plusieurs navigateurs normalisent l antislash en
barre oblique avant de resoudre, ce qui en fait //evil.com. La fonction
refuse maintenant antislash et caracteres de controle, exige un chemin
enracine, et compare l origine explicitement.

Le xfail(strict) qui documentait SEC-017 est leve. 40 tests dans
test_auth_session.py, dont la table des cibles refusees.

Co-Authored-By: Claude Opus 5 <[email protected]>

tests/test_audit_logging.py

@@ -70,7 +70,9 @@ class TestLoginEvents:
         login('no-such-account', password='WrongPassword1')
         assert _has_event(auth_log, 'login.failure.unknown_user')
 
-    def test_a_lockout_is_recorded(self, app, client, make_user, login, auth_log):
+    def test_a_run_of_failures_is_recorded(self, app, client, make_user, login, auth_log):
+        """Renamed from account.locked with SEC-018: the window no longer
+        refuses the account owner, so 'locked' overstated what happened."""
         user_id = make_user('player')
         with app.app_context():
             username = db.session.get(User, user_id).username
@@ -78,7 +80,7 @@ class TestLoginEvents:
         for _ in range(5):
             login(username, password='WrongPassword1')
 
-        assert _has_event(auth_log, 'account.locked')
+        assert _has_event(auth_log, 'account.throttled')
 
     def test_a_deactivated_account_attempt_is_recorded(
         self, app, client, make_user, login, auth_log
@@ -96,7 +98,7 @@ class TestLoginEvents:
 
     def test_logout_is_recorded(self, client, as_role, auth_log):
         as_role('player')
-        client.get('/auth/logout')
+        client.post('/auth/logout')
         assert _has_event(auth_log, 'logout')