secure the admin session and make traffic visible from outside

دو شکاف که وقتی آدم‌های دیگر به پروژه وصل می‌شوند مهم‌تر می‌شوند.

کوکیِ نشستِ پنلِ ادمین و توکنِ CSRF بدونِ پرچمِ secure رد و بدل می‌شدند.
احرازِ هویتِ خودِ API کوکی نیست و این‌ها فقط برای ادمین‌اند — یعنی دقیقاً
همان‌جایی که اعتبارنامه‌ی واقعی وارد می‌شود. حالا خارج از DEBUG امن‌اند، و
SECURE_PROXY_SSL_HEADER هم اضافه شد چون TLS روی nginx تمام می‌شود و بدونش
جنگو درخواست را HTTP می‌بیند و کوکیِ امن اصلاً ست نمی‌شود.

SECURE_SSL_REDIRECT و HSTS عمداً روشن نشدند: اولی پشتِ پراکسیِ بدتنظیم
حلقه‌ی ریدایرکت می‌سازد و کلِ سایت را می‌خواباند، دومی در مرورگرِ کاربر کش
می‌شود و عملاً برگشت‌ناپذیر است. هر دو تصمیمِ زیرساختی‌اند نه کد.

/api/health حالا ترافیک را هم گزارش می‌دهد: تعدادِ کاربر، فعال‌های ۲۴ ساعتِ
اخیر، و زمانِ آخرین فعالیت. تا امروز هیچ راهی نبود از بیرون بفهمیم فرانت
واقعاً به سرور رسیده یا نه — باید منتظر می‌ماندیم کسی بگوید. فقط شمارش و
زمان؛ تست جداگانه بررسی می‌کند هیچ شماره یا نامی بیرون نرود.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

config/tests.py

@@ -356,3 +356,50 @@ class ServerEnvDefaultsTests(SimpleTestCase):
         self.assertTrue(settings.PUBLIC_BASE_URL.startswith('https://'))
         self.assertTrue(settings.ZARINPAL_CALLBACK_URL.startswith('https://'))
         self.assertIn('/api/payment/zarinpal/callback', settings.ZARINPAL_CALLBACK_URL)
+
+
+class SecureCookieTests(SimpleTestCase):
+    """
+    کوکیِ نشستِ ادمین جایی‌ست که اعتبارنامه‌ی واقعی وارد می‌شود؛ روی HTTP
+    نباید رد و بدل شود.
+
+    مثلِ بقیه‌ی تست‌های این فایل ماژول را دوباره بار می‌کنیم: این مقدارها در
+    زمانِ import محاسبه می‌شوند و اجرای تست خودش DEBUG را خاموش می‌کند، پس
+    خواندنِ settings در لحظه چیزِ گمراه‌کننده‌ای می‌دهد.
+    """
+
+    allow_database_queries = True
+
+    def _reload(self, env_overrides, env_removed=()):
+        from config import settings as settings_module
+
+        clean_env = {k: v for k, v in os.environ.items() if k not in env_removed}
+        clean_env.update(env_overrides)
+        with patch.dict(os.environ, clean_env, clear=True):
+            importlib.reload(settings_module)
+        return settings_module
+
+    def tearDown(self):
+        from config import settings as settings_module
+        importlib.reload(settings_module)
+
+    def test_cookies_are_secure_in_production(self):
+        module = self._reload(
+            {'DJANGO_DEBUG': '', 'DJANGO_SECRET_KEY': 'x' * 60,
+             'CACHE_URL': 'redis://localhost:6379/0'},
+        )
+        self.assertFalse(module.DEBUG)
+        self.assertTrue(module.SESSION_COOKIE_SECURE)
+        self.assertTrue(module.CSRF_COOKIE_SECURE)
+        self.assertTrue(module.SESSION_COOKIE_HTTPONLY)
+
+    def test_cookies_stay_usable_over_plain_http_in_development(self):
+        """با DEBUG روشن، کوکیِ امن یعنی ورود به ادمینِ محلی کار نمی‌کند."""
+        module = self._reload({'DJANGO_DEBUG': '1'})
+        self.assertTrue(module.DEBUG)
+        self.assertFalse(module.SESSION_COOKIE_SECURE)
+
+    def test_django_trusts_the_proxy_for_https(self):
+        """بدونِ این، کوکیِ امن پشتِ nginx هرگز ست نمی‌شود و ورود می‌شکند."""
+        self.assertEqual(settings.SECURE_PROXY_SSL_HEADER,
+                         ('HTTP_X_FORWARDED_PROTO', 'https'))