# SECURITY-NATIVE-012 — Durcissement production

- En-têtes HTTP centralisés et dépendants de l'environnement.
- HSTS uniquement en production HTTPS.
- CSP compatible appliquée en production et politique stricte en Report-Only.
- CORS fermé par défaut, configurable par liste blanche pour l'API.
- Rate limiting ciblé sur connexion, API, mises à jour et sauvegardes.
- Erreurs PHP masquées en production et journalisées côté serveur.
- Les contrôles bloquants de production restent désactivables en développement.

Variables principales : AXIOM_ALLOWED_HOSTS, FORCE_HTTPS, TRUST_PROXY_HEADERS,
CSP_ENFORCE, CSP_REPORT_ONLY_STRICT, CORS_ALLOWED_ORIGINS,
RATE_LIMIT_ENABLED, RATE_LIMIT_LOGIN_PER_MINUTE, RATE_LIMIT_API_PER_MINUTE,
RATE_LIMIT_ADMIN_PER_MINUTE, RATE_LIMIT_HASH_SALT, HSTS_MAX_AGE,
HSTS_INCLUDE_SUBDOMAINS, HSTS_PRELOAD.
