Note de démo : L’endpoint de connexion est protégé par des défis PoW adaptatifs — les échecs répétés augmentent la difficulté de la preuve de travail. Un limiteur de débit basé sur le cache est implémenté et testé mais n’est pas activé sur la démo en direct ; activez createCacheClient dans app.ts pour l’activer.

Une implémentation de référence d’authentification construite de zéro pour Cloudflare Workers — hachage de mot de passe PBKDF2, sessions à double jeton JWT, comparaison en temps constant, expiration glissante et un plugin d’observabilité amovible — le tout assemblé avec Hono, Turso (avec mise en cache optionnelle Valkey/Redis) et TypeScript strict.

Chaque choix de conception remonte à une norme : NIST SP 800-63B pour les identifiants, NIST SP 800-132 pour la dérivation de clés, OWASP ASVS pour la vérification, et RFC 8725 pour les bonnes pratiques JWT.

Vous livrez un produit ? Utilisez Better Auth à la place — il couvre OAuth, les clés d’accès, l’authentification multifacteur, la limitation de débit et bien plus encore prêts à l’emploi avec un écosystème de plugins actif. Ce dépôt existe pour vous apprendre comment fonctionne l’authentification, pas pour remplacer une bibliothèque de production.

Pourquoi ce dépôt

• Lisez le code, pas seulement la documentation — chaque propriété de sécurité (rejet en temps constant, révocation liée à la session, épinglage d’algorithme) est implémentée et testée, pas seulement décrite
• Références NIST + OWASP + RFC partout — apprenez le pourquoi derrière chaque décision
• 630+ tests incluant des suites de vecteurs d’attaque (altération de jetons, confusion d’algorithme, cas limites Unicode)
• Plugin d’observabilité — journalisation structurée des audits, défis PoW adaptatifs, API d’opérations authentifiée par agent et diffusion d’événements WebSocket — se branche via le middleware Hono sans modifier le noyau d’authentification
• Conçu pour la périphérie — fonctionne sur Cloudflare Workers avec l’API Web Crypto, aucune dépendance Node.js
• Apache-2.0 — fork, enseignez, apprenez

Ce que vous trouverez à l’intérieur

Prochaines étapes pour la production

Ce projet omet intentionnellement des fonctionnalités qui sortent de son cadre pédagogique. Si vous étendez ce code vers la production (ou évaluez ce qu’un système d’authentification de production nécessite), les tableaux ci-dessous organisent les lacunes par niveau de priorité.

Pour la plupart des projets réels, utilisez Better Auth plutôt que de construire vous-même ces fonctionnalités.

Critique — À ajouter avant les vrais utilisateurs

Priorité élevée — Confiance en production

Priorité moyenne — À mesure que le produit évolue

Avancé — Entreprise / Haute sécurité

Toutes ces raisons sont d’excellents motifs pour utiliser Better Auth à la place.

Structure du dépôt

.
├── apps/
│   └── cloudflare-workers/    # Example Worker + Hono routes
├── packages/
│   ├── core/                  # Auth services, middleware, crypto utilities
│   ├── infrastructure/        # DB client + utilities
│   ├── observability/         # Event emission, adaptive challenges, ops API (removable plugin)
│   ├── schemas/               # Zod schemas
│   └── types/                 # Shared TypeScript types
├── tools/
│   └── cli/                   # plctl — Go TUI for the /ops surface
└── docs/
    ├── adr/                   # Architecture Decision Records
    └── audits/                # Security audits

Pour commencer

git clone https://github.com/vhscom/private-landing.git
cd private-landing
bun install
bun run dev

C'est tout — pas de comptes, pas de clés API, pas de fichiers .env. Le serveur de développement démarre avec une base de données SQLite locale et des secrets générés. Ouvrez http://localhost:8788 pour enregistrer un compte et explorer les flux d'authentification.

Vous avez un compte Turso ? Déposez un fichier .dev.vars dans apps/cloudflare-workers/ (voir .dev.vars.example) et bun run dev utilisera automatiquement wrangler avec votre base de données distante. Utilisez bun run dev:local pour forcer le serveur local quoi qu’il arrive.

Voir CONTRIBUTING.md pour les instructions de test et de déploiement.

Utilisation avec l’IA

Ce dépôt inclut un fichier CLAUDE.md qui fournit un contexte pour les assistants IA. Lorsque vous utilisez Claude Code, Cursor ou des outils de développement alimentés par l’IA similaires :

1. L’IA lira automatiquement CLAUDE.md pour le contexte du projet
2. Les enregistrements de décisions d’architecture dans docs/adr/ expliquent les choix de conception
3. Les audits de sécurité dans docs/audits/ documentent la posture de sécurité
4. Les tests démontrent le comportement attendu et les cas limites

Le codebase est conçu pour être lisible par l’IA avec des limites de modules claires, des types complets et des noms descriptifs.

Licence

Apache-2.0