PD-19 — Rétrospective¶

1. Contexte¶

2. Métriques¶

Scores de convergence¶

3. Learnings clés¶

• Paramètres contractuels explicites : Les critères d'acceptation non mesurables (socle headers sans liste, CORS sans origines) sont les premières causes de rejet Gate 3.

• Headers sur erreurs = res.on('finish') : Les security headers doivent être appliqués même sur les réponses d'erreur. Le pattern res.on('finish') garantit cette couverture.

• Trust proxy = surface d'attaque : La résolution IP via X-Forwarded-For sans validation de la chaîne de confiance permet le bypass du rate limiting.

• Faux positifs reviews LLM : Les faux positifs Gate 5 étaient causés par la lecture de résumés plutôt que des documents complets.

• Rétention logs = config infra : La rétention de 90 jours n'est pas codée dans l'application mais dans ELK lifecycle.

4. Patterns applicables¶

Pattern existant : Fail-fast config sécurité¶

Cohérent avec PD-22, PD-240 : la configuration CORS/headers doit échouer au démarrage si invalide.

Nouveau pattern : res.on('finish') pour headers universels¶

Pour garantir les security headers même sur exceptions non catchées :

middleware(req, res, next) {
  res.on('finish', () => {
    // Vérifier/ajouter headers ici
  });
  next();
}

Nouveau pattern : Trust proxy + TRUSTED_PROXIES¶

Pour le rate limiting avec proxy : 1. Configurer app.set('trust proxy', trustProxyConfig) 2. Variable env TRUSTED_PROXIES avec liste explicite 3. Validation stricte de X-Forwarded-For

5. Signal CLAUDE.md¶

Priorité haute : Documenter le pattern Trust proxy.

### Trust proxy et rate limiting (2026-02-XX)

La résolution IP via X-Forwarded-For sans validation permet le bypass du rate limiting.

**Checklist obligatoire** :
1. Configurer `trust proxy` de manière restrictive (pas `true` global)
2. Variable `TRUSTED_PROXIES` avec liste explicite des IPs proxy
3. Validation que l'IP client vient bien de la chaîne de confiance

6. Conclusion¶

PD-19 est la story la plus documentée du batch avec des métriques complètes. Les 21 écarts identifiés ont permis d'améliorer significativement les prompts de spec et de review. Les patterns res.on('finish') et Trust proxy sont des contributions importantes pour les futures stories sécurité.

Rétrospective générée 2026-02-19 (Étape 10 batch backend-core)