chore: add security http header

[achorein]

Ticket(s) lié(s)

Description

Les en-têtes de sécurité HTTP sont maintenant alignés avec les recommandations d’audit.

Cause principale
En production, les frontends sont servis par l’image nginx4spa, qui imposait encore :

X-XSS-Protection: 1; mode=block (à remplacer par 0)
pas de Referrer-Policy
pas de Content-Security-Policy
La config nuxt-security ne s’applique pas au build statique (generate + nginx).

Modifications

1. Nginx (production) — docker/nginx-spa.conf
   Utilisé par les deux Dockerfiles front :

Referrer-Policy: no-referrer
X-XSS-Protection: 0
Content-Security-Policy avec object-src 'none' et script-src restreint (aligné sur la config Nuxt existante)
conservation de X-Frame-Options et X-Content-Type-Options
2. Nuxt (dev / preview) — nuxt.config.ts (usagers + BO)
Ajout explicite de referrerPolicy, xXSSProtection: "0" et object-src: 'none'.

3. API — packages/backend/src/app.ts et packages/external-api/src/main.ts
   Même politique côté Express / Nest (helmet + X-XSS-Protection: 0 pour le backend).

Vérification après déploiement
curl -sI https:/// | grep -iE 'referrer-policy|content-security-policy|x-xss-protection'
Attendu :

Referrer-Policy: no-referrer
X-XSS-Protection: 0
Content-Security-Policy: ... object-src 'none' ...

Screenshot / liens loom

Check-list

• Ma branche est rebase sur main
• Des tests ont été écrits pour tous les endpoints créés ou modifiés
• Refacto "à la volée" des parties sur lesquelles j'ai codée
• Plus de console.log
• J'ai ajouté une validation de schéma sur la route que j'ai ajouté ou modifié
• J'ai converti les fichiers vue en <script lang="ts">
• Mon code est en Typescript (autant que possible)

Testing instructions

[revu-bot]

An internal error occurred. Please check the logs for details.

Revu logs

[sonarqubecloud]

Quality Gate passed

Issues
0 New issues
0 Accepted issues

Measures
0 Security Hotspots
100.0% Coverage on New Code
0.0% Duplication on New Code

See analysis details on SonarQube Cloud