[P2][cleanup] Appliquer la politique HTTPS dans le constructeur défensif #18

New issue

Open

opened 2026-07-31 21:05:12 +00:00 by mathieu · 2 comments

mathieu commented

2026-07-31 21:05:12 +00:00

Owner

Constat

La validation config interdit HTTP en zone Internet sans opt-in, mais cleanup.NewOpenAICompatible ne reçoit pas AllowInsecure et n'applique aucun contrôle (internal/cleanup/cleanup.go:27-85). Les callers directs divergent du constructeur STT.

Tâche

Ajouter l'option minimale et refuser Internet+HTTP avant toute requête ou transmission de bearer, puis la propager depuis core.BuildCleanup.

Critères d'acceptation

Internet HTTP est refusé par défaut avant réseau.
L'opt-in explicite fonctionne.
Internet HTTPS et local/LAN HTTP restent valides.
Préflight et constructeur donnent le même verdict.

Validation

go test -race ./internal/cleanup ./internal/config ./internal/core

## Constat La validation config interdit HTTP en zone Internet sans opt-in, mais `cleanup.NewOpenAICompatible` ne reçoit pas `AllowInsecure` et n'applique aucun contrôle (`internal/cleanup/cleanup.go:27-85`). Les callers directs divergent du constructeur STT. ## Tâche Ajouter l'option minimale et refuser Internet+HTTP avant toute requête ou transmission de bearer, puis la propager depuis `core.BuildCleanup`. ## Critères d'acceptation - Internet HTTP est refusé par défaut avant réseau. - L'opt-in explicite fonctionne. - Internet HTTPS et local/LAN HTTP restent valides. - Préflight et constructeur donnent le même verdict. ## Validation `go test -race ./internal/cleanup ./internal/config ./internal/core`