Sécurité, Middlewares, CSP & Sessions

Aucun middleware ne se configure par le .env. En mode debug (DEBUG=true), des en-têtes no-cache sont ajoutés sur localhost ; .middleware(|m| m.with_cache(true)) les désactive.

CSP — Configurée exclusivement via le builder (.with_csp(...)). Voir CSP. Host validation — Configurée exclusivement via le builder (.with_allowed_hosts(|h| h.enabled(true).host("..."))). Voir Host Validation.

Les limites mémoire et l'intervalle de cleanup sont configurés via le builder — voir Sessions.