[github-actions]

🤖 I have created a release beep boop

0.2.0 (2026-10-21)

Features

• actions: actions d'opérateur signées, vérifiées et exécutées par ca-server (#17) (3c28d73)
• actions: actions signées sur le registre des opérateurs (invitation, confirmation, révocation, rôle) (#20) (255f06c)
• actions: amorçage du premier administrateur (ca-server operators bootstrap-admin) (#18) (2c7d29f)
• actions: audit de la chaîne du registre des opérateurs (operators audit) (#25) (e78b606)
• actions: double contrôle des actions sensibles (quorum de signatures) (#22) (127ceb8)
• actions: récupération de l'administrateur (recover-admin) et garde du quorum impossible (#24) (b30e8a1)
• actions: rejeu du journal, blocage du registre divergent et operators reconcile (#26) (1f58888)
• actions: révocation de certificat par action signée (revoke_certificate) (#21) (603cf44)
• ca-server,helm: demandeurs d'enrôlement obligatoires en production (constat R-3) (#144) (9e0a683)
• ca-server,ra-console: scellement des journaux par la TSA maison (constat J-1) (#103) (b74d67f)
• ca-server: lien interne (routes, mTLS) et enregistrement de clé des opérateurs (#19) (fb1ea95)
• ca-server: port d'enrôlement en TLS mutuel, demandeur identifié par son certificat client (R-3, tranche 1) (#152) (1329339)
• ca-server: réplication du journal d'audit sur un stockage S3-compatible (#49) (b72fde1)
• ca-server: revue a posteriori des décisions de la voie de secours (R-1) (#82) (3e7c952)
• ca: dépôt public des certificats + marquage STAGING du staging (#10) (9329b5f)
• ca: provenance des décisions RA et des révocations (R-1) (#58) (c075b4f)
• ca: révocation de l'autorité émettrice et ARL de la racine (C-1) (#56) (1301fe8)
• castore: registre des opérateurs et droits en lecture seule de ra-console (#15) (ea3a702)
• config: OPENEIDAS_RSA_SCHEME choisit RSASSA-PSS ou PKCS#1 v1.5, étape 4 (décision PSS partout) (#129) (c4df6a2)
• config: refus de l'OID de test en production et script de bascule vers l'arc PEN (#44) (0b26fcd)
• deploy: image, chart Helm et surcouche compose de ra-console (#86) (1e0ffd0)
• deploy: l'entrypoint de la TSA relance enroll en arrière-plan (constat H-3) (#147) (0f33509)
• deploy: port interne, ConfigMap et NetworkPolicy de la CA dans le chart Helm (#23) (f0d3ea5)
• enhance mirror setup script with initial sync for all repos (b53129c)
• helm: port d'enrôlement mTLS et certificats clients des services (R-3, tranche 3) (#154) (01f38e5)
• httpapi,helm: délestage des signatures et limite de débit optionnelle (audit TSA) (#148) (ba0df9b)
• oe-actions: l'approbation d'un certificat de TSU exige deux opérateurs (constat R-3) (#149) (7c4bd05)
• oe-ca-core: journal bloquant avant toute écriture durable (#42) (6d4fe5a)
• oe-ca-core: révoqués conservés sans limite dans la CRL, extension ExpiredCertsOnCRL (constat C-4) (#107) (f6325e1)
• oe-enroll: le client s'identifie par son certificat client (R-3, tranche 2) (#153) (c002e5d)
• oe-hsm: preuve que la clé privée est née dans le module, gabarit restreint (constats H-1, H-3) (#114) (f0f4533)
• oe-hsm: reconnexion de la session PKCS#11 perdue (constat H-2) (#123) (5b3a154)
• oe-hsm: signature RSASSA-PSS, étape 1 (décision PSS partout) (#126) (ec3b638)
• oe-hsm: vérification de chaque signature avec la clé publique du token (constat H-2) (#116) (832611c)
• oe-ocsp-core: fraîcheur de la CRL, cRLNumber monotone, nonce et requêtes multiples (constat O-2) (#106) (a565f0c)
• oe-raflow: journal bloquant, exception documentée pour Decider::decide (#45) (1a3b496)
• oe-s3: client S3-compatible minimal (SigV4) (#43) (a600350)
• oe-timesource: client SNTP durci contre l'usurpation (constat T-2) (#108) (4627509)
• oe-timesource: secondes intercalaires annoncées, consignées et suspensives (constat T-4) (#109) (b4555bd)
• oe-timesource: sources authentifiées par NTS, RFC 8915 (constat T-2, tranche T-c) (#110) (843238d)
• oe-tsa-core,oe-timesource: journal bloquant, deux traits restent synchrones (#47) (4ba7ab0)
• oe-tsa-core: jeton RFC 3161 signé en RSASSA-PSS (étape 3) (#128) (97710a7)
• oid: poser l'arc d'OTSPI (PEN 67027) à la place des OID provisoires (#93) (b21cd94)
• pki: RSASSA-PSS dans certificats, CRL, OCSP et CSR, étape 2 (décision PSS partout) (#127) (70c397b)
• provenance: copie hors poste de l'archive et archivages concurrents (#48) (0a3d834)
• ra-console: connexion par nom, login/begin et login/finish (1c-1) (#34) (0530043)
• ra-console: dossiers d'incident dans le navigateur (étape 5c) (#100) (4e14f16)
• ra-console: dossiers d'incident, entrées et clôture signée (étape 5b) (#99) (05bfef5)
• ra-console: dossiers d'incident, ouverture et lecture (étape 5a) (#98) (b86de20)
• ra-console: double contrôle, co-signature et salle d'attente (étape 4b) (#83) (6189e52)
• ra-console: exécution des décisions signées approve/reject (étape 3b) (#77) (37d4eb8)
• ra-console: explorateur d'audit dans le navigateur (étape 6d) (#94) (3b49432)
• ra-console: file des demandes et modale de signature (étape 6b) (#89) (fdb7ccd)
• ra-console: frontend, socle (étape 6a) (#87) (a07a772)
• ra-console: gestion du registre des opérateurs depuis la console (#85) (922d707)
• ra-console: GET /api/v1/audit/search, lecture et vérification des deux journaux (#78) (f636e6d)
• ra-console: journal d'audit propre à la console (2b-A) (#41) (d3b0309)
• ra-console: lecture seule de la file d'enrôlement (2a) (#40) (357608e)
• ra-console: préparation des actions signées approve/reject (étape 3a) (#64) (219bebb)
• ra-console: purge périodique des sessions et challenges expirés (1c-2b) (#39) (b451c85)
• ra-console: registre des opérateurs dans le navigateur (étape 6e) (#91) (3a0b4b5)
• ra-console: relais de l'enregistrement de clé vers ca-server (#29) (bb8b19f)
• ra-console: réplication best-effort du journal d'audit sur S3 (#50) (de7ff68)
• ra-console: révocation d'un certificat, première signature (étape 4a) (#81) (3f72825)
• ra-console: révocation et salle de quorum dans le navigateur (étape 6c) (#90) (42fce8e)
• ra-console: sessions, cookie, /api/v1/me et déconnexion (1c-2a) (#37) (0abcb28)
• ra-console: squelette de la console (lien mTLS, garde du rôle PostgreSQL, healthz) (#28) (566e04d)
• raflow: fin de la double authentification pour les demandeurs mTLS (R-3, tranche 4) (#155) (eb15549)
• raflow: un secret par demandeur, profils et CN liés (constat R-3) (#143) (21ca064)
• tsa-server: contreseing du journal par des TSA tierces (constat J-1) (#102) (f3f03c1)
• tsa-server: démarrage en mode dégradé consigné au journal (constat S-2) (#125) (b3d59d8)
• tsa-server: rechargement à chaud du certificat et de la clé de la TSU (constat H-3) (#146) (8af026c)
• tsa-server: retire-key détruit une ancienne génération de clé, sur demande (constat H-3) (#145) (3374cc3)
• tsa-server: scellement périodique du journal et copie S3 (constat J-1) (#101) (b29bdf3)
• tsa-server: une bi-clé neuve par certificat de TSU (constat H-3) (#130) (76a4273)
• tsa: CORS configurable pour l'API HTTP, activé pour demo.open-eidas.eu (#7) (2d97c3c)
• webauthn: vérification WebAuthn des opérateurs (oe-webauthn) (#16) (d2110d8)

Bug Fixes

• ca-server,deploy: aucun repli de PIN en production (constat C-2) (#113) (d7833ed)
• ca-server: commandes d'exploitation sans secret de HSM, et garde de CI contre les tests PostgreSQL ignorés (#27) (59bd6fc)
• ca-server: recover-admin, audit et reconcile sur Config::load_without_hsm (#33) (a50318e)
• chart: ajoute fsGroup aux pods ca/tsa/ocsp pour SoftHSM (cf00ec6)
• chart: ajoute fsGroup aux pods ca/tsa/ocsp pour SoftHSM (c4f8a71)
• ci: demander le jeton de la GitHub App pour l'organisation otspi (#96) (a82074b)
• ci: publier et épingler les images sous l'organisation otspi (#88) (0d23d9f)
• corrige des vulnérabilités HIGH introduites par l'ajout de golang.org/x/crypto/ocsp (5c5dabc)
• corrige une vulnérabilité CRITICAL golang.org/x/crypto (CVE-2026-56854) (91fac96)
• deps: quinn-proto 0.11.19 (RUSTSEC-2026-0338, -0340, -0343) (#97) (6a9e47f)
• helm: approbation RA automatique désactivée par défaut (R-2) (#57) (259e7ab)
• images: applique les correctifs de sécurité Debian au build (83b0f72)
• images: applique les correctifs de sécurité Debian au build (e95781c)
• images: invalide le cache apt-get une fois par jour (CACHEBUST) (fd40e43)
• oe-actions,ra-console: empreinte de CSR obligatoire, internal_client réservé à la CA (constat A-1) (#122) (3d1569a)
• oe-ca-core,oe-conformance,oe-tsa-core: expiration de la clé TSU, contrôlée à chaque signature (#80) (484f233)
• oe-ca-core,oe-ocsp-core,oe-enroll: paramètres NULL de sha256WithRSAEncryption (constat C-5) (#112) (d8ab436)
• oe-ca-core: liste blanche des motifs de révocation dans Issuer::revoke (constat C-3) (#111) (c452176)
• oe-castore,oe-ca-core,oe-ocsp-core: unknown pour un certificat jamais émis (#55) (5621e82)
• oe-config,ocsp-responder: modes dégradés refusés en production (constat S-2) (#120) (7850df8)
• oe-hsm: PIN gardé par le token effacé de la mémoire (constat H-3) (#124) (e70ed5a)
• oe-hsm: SoftwareToken derrière la feature testing, absent des binaires (constat H-2) (#115) (da42a18)
• oe-httpapi: gen_time de la façade JSON lu dans le jeton (constat S-3) (#141) (351c2f4)
• oe-httpapi: la signature passe par le pool bloquant, le test de délestage ne dépend plus du temps (#157) (17363a7)
• oe-rfc3161-asn1,oe-tsa-core,oe-config: genTime porte sa fraction de seconde (#76) (cedb73c)
• oe-tsa-core,tsa-server: le journal trace le jeton émis, pas le certificat (#52) (7fed5cd)
• oe-tsa-core: encodage DER du failInfo des refus RFC 3161 (#62) (0cf221c)
• probes k8s trop strictes + budget d'attente CI insuffisant (0738b16)
• ra-console: cookie de session préfixé __Host- (constat A-2) (#131) (6789c91)
• ra-console: empreinte de l'identifiant de session et expiration d'inactivité (constat A-2) (#121) (258fd87)
• ra-console: ne plus lier cryptoki (feature pkcs11 d'oe-hsm) (#30) (9f1f0b9)
• tsa: numéro de série du jeton en DER minimal (1 jeton sur 512 était rejeté) (#31) (3a9e2e2)
• tsa: restreint vraiment le CORS à l'origine configurée (#8) (5a7acf1)
• valide la longueur du PIN SoftHSM (4-255) au lieu de bloquer sur une invite (81decf3)

---

This PR was generated with Release Please. See documentation.