feat(prezentacja): klucz podpisu sesji (LOG-34)

SESSION_SECRET w sekrecie astrololo-auth. Pod bez niego CELOWO nie wstaje: usługa z kontami, ale bez klucza, nie odróżniłaby ważnej sesji od podrobionej. W README dopisana rotacja klucza jako awaryjny wyłącznik — podmiana unieważnia wszystkie sesje naraz, co jest właściwą reakcją na podejrzenie przechwycenia cudzej sesji. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-21 00:18:16 +02:00
parent ff0a1c8256
commit f754831f54
2 changed files with 23 additions and 1 deletions
@@ -32,6 +32,13 @@ spec:
                secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
            - name: APP_USER
              value: "astrololo"
+            # Klucz podpisu ciasteczek sesji (LOG-34). WYMAGANY — pod bez niego
+            # celowo nie wstaje: usługa z kontami, ale bez klucza, nie umiałaby
+            # odróżnić ważnej sesji od podrobionej. Rotacja tego klucza WYLOGOWUJE
+            # WSZYSTKICH, i tak ma być — to jest awaryjny wyłącznik.
+            - name: SESSION_SECRET
+              valueFrom:
+                secretKeyRef: { name: astrololo-auth, key: SESSION_SECRET }
            - name: RATE_LIMIT_PER_MIN
              value: "120"                       # 0 = bez limitu
            # Aplikacja stoi za Ingressem, więc bezpośrednim rozmówcą jest zawsze