perf: servir les statiques par nginx, et dire ce que le bot n a pas livre

PERF-006. Le bloc location /static/ etait commente : 59 Ko de CSS et de JS
passaient par Waitress a chaque page. L activer tel quel aurait ete une
regression : ces URL ne changent jamais, donc un cache de 30 jours sert une
feuille de style vieille d un mois apres chaque deploiement, sans moyen de
l invalider. url_for('static') estampille maintenant chaque URL du mtime du
fichier ; c est ce qui rend le immutable vrai et pas seulement rapide.

Deux pieges nginx consignes dans le fichier : un add_header dans un location
annule tous les add_header herites du server (nosniff disparaissait du
JavaScript), et un statique manquant doit renvoyer 404 plutot que retomber
sur Flask, sinon un deploiement casse se cache derriere une page qui marche.

PERF-005. Les objets utilisateur Discord sont mis en cache. A etre precis
sur le gain : un envoi coute deux appels reseau, resoudre puis envoyer, et
seul le premier est economise — un premier match a vingt joueurs fait
toujours vingt resolutions. Ce qui est gagne l est entre notifications, la
ou le bot ecrit aux memes personnes soir apres soir.

Chaque message dit desormais ce qu il est devenu, avec le destinataire et
la raison. Les trois echecs ne se ressemblent pas et ne se lisent plus
pareil : une boite fermee est definitive et ne se retente pas, une erreur
HTTP est passagere, un identifiant sans proprietaire est un compte a
corriger. Le lot quotidien annonce son propre deficit.

Piege trouve en ecrivant les tests : configure_logging met propagate=False
sur le logger 'app', et le handler de caplog est sur la racine. Les
assertions sur les journaux passaient seules et echouaient dans la suite
complete, ou une application avait deja ete construite — elles lisaient un
journal vide, pas un bot silencieux.

417 tests.

app/nginx.conf

@@ -143,15 +143,41 @@ http {
         }
 
         # ---------------------------------------------------------------------
-        # Static Files (served directly by Nginx for performance)
-        # Uncomment and adjust path if you want Nginx to serve static files
+        # Static Files (PERF-006)
+        #
+        # 59 KB of CSS and JS on every page load, previously proxied through
+        # Waitress. Nginx serves them from disk instead.
+        #
+        # ADJUST THIS ONE PATH to the deployment's checkout, absolute, forward
+        # slashes even on Windows. Nginx resolves a relative path against its
+        # own install prefix, not against this file. The trailing slash on both
+        # the location and the alias is required: without it /static/css/x.css
+        # resolves one directory too high.
+        #
+        # `immutable` is safe here and only here: url_for('static', …) appends
+        # ?v=<mtime> (see version_static_urls in app/app.py), so a deployed file
+        # is requested under a new URL and the cached copy of the old one is
+        # never asked for again. Removing that stamp and leaving this block
+        # gives every visitor a month-old stylesheet.
         # ---------------------------------------------------------------------
-        # location /static/ {
-        #     alias C:/path/to/team-tryouts/static/;
-        #     expires 30d;
-        #     add_header Cache-Control "public, immutable";
-        #     access_log off;
-        # }
+        location /static/ {
+            alias C:/team-tryouts/app/static/;
+            expires 30d;
+            access_log off;
+
+            # These three are repeated on purpose. In nginx, add_header is
+            # inherited from the enclosing block ONLY when the current block
+            # declares none of its own — one add_header here silently drops
+            # every security header set at server level. Dropping nosniff on
+            # the JavaScript is the one that matters.
+            add_header Cache-Control "public, immutable";
+            add_header X-Content-Type-Options "nosniff" always;
+            add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
+
+            # A missing static file must 404, not fall through to Flask: the
+            # fallthrough would hide a broken deploy behind a working page.
+            try_files $uri =404;
+        }
 
         # ---------------------------------------------------------------------
         # Rate Limiting