secure the admin session and make traffic visible from outside

دو شکاف که وقتی آدم‌های دیگر به پروژه وصل می‌شوند مهم‌تر می‌شوند.

کوکیِ نشستِ پنلِ ادمین و توکنِ CSRF بدونِ پرچمِ secure رد و بدل می‌شدند.
احرازِ هویتِ خودِ API کوکی نیست و این‌ها فقط برای ادمین‌اند — یعنی دقیقاً
همان‌جایی که اعتبارنامه‌ی واقعی وارد می‌شود. حالا خارج از DEBUG امن‌اند، و
SECURE_PROXY_SSL_HEADER هم اضافه شد چون TLS روی nginx تمام می‌شود و بدونش
جنگو درخواست را HTTP می‌بیند و کوکیِ امن اصلاً ست نمی‌شود.

SECURE_SSL_REDIRECT و HSTS عمداً روشن نشدند: اولی پشتِ پراکسیِ بدتنظیم
حلقه‌ی ریدایرکت می‌سازد و کلِ سایت را می‌خواباند، دومی در مرورگرِ کاربر کش
می‌شود و عملاً برگشت‌ناپذیر است. هر دو تصمیمِ زیرساختی‌اند نه کد.

/api/health حالا ترافیک را هم گزارش می‌دهد: تعدادِ کاربر، فعال‌های ۲۴ ساعتِ
اخیر، و زمانِ آخرین فعالیت. تا امروز هیچ راهی نبود از بیرون بفهمیم فرانت
واقعاً به سرور رسیده یا نه — باید منتظر می‌ماندیم کسی بگوید. فقط شمارش و
زمان؛ تست جداگانه بررسی می‌کند هیچ شماره یا نامی بیرون نرود.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

config/health.py

@@ -12,6 +12,8 @@ GET /api/health — «آیا این سرور واقعاً سالم است؟»
 
 عمداً هیچ سکرتی برنمی‌گرداند: فقط بله/خیرِ «تنظیم شده» و شمارشِ محتوا.
 """
+from datetime import timedelta
+
 from django.conf import settings
 from django.core.cache import cache
 from django.db import connection
@@ -79,6 +81,32 @@ def _check_content() -> dict:
         return {'ok': False, 'error': type(exc).__name__}
 
 
+def _traffic() -> dict:
+    """
+    آیا کسی واقعاً به این سرور وصل می‌شود؟
+
+    تا امروز راهی نبود که از بیرون بفهمیم فرانت به سرور رسیده یا نه — باید
+    منتظر می‌ماندیم کسی بگوید. این سه عدد همان سیگنال‌اند. فقط شمارش و زمان،
+    بدونِ هیچ اطلاعاتِ شخصی.
+    """
+    try:
+        from django.utils import timezone
+
+        from accounts.models import User
+
+        since = timezone.now() - timedelta(hours=24)
+        last = User.objects.order_by('-last_activity_at').values_list(
+            'last_activity_at', flat=True,
+        ).first()
+        return {
+            'users': User.objects.count(),
+            'activeLast24h': User.objects.filter(last_activity_at__gte=since).count(),
+            'lastActivityAt': last.isoformat() if last else None,
+        }
+    except Exception as exc:  # noqa: BLE001
+        return {'error': type(exc).__name__}
+
+
 def _check_integrations() -> dict:
     """فقط «تنظیم شده یا نه» — هیچ کلیدی برنمی‌گردد."""
     return {
@@ -142,6 +170,7 @@ class HealthView(APIView):
             'warnings': warnings,
             'checks': checks,
             'integrations': _check_integrations(),
+            'traffic': _traffic(),
             'allowedOrigins': list(getattr(settings, 'CORS_ALLOWED_ORIGINS', [])),
         }
         return Response(payload, status=200 if critical_ok else 503)