# ══════════════════════════════════════════════════════════════════
# Protection CSRF — csrf.yaml
# ══════════════════════════════════════════════════════════════════
# Active la protection CSRF stateless (sans session) sur :
#   - "submit"      : tous les formulaires (pointage, admin, tarifs…)
#   - "authenticate": le formulaire de connexion (form_login)
#   - "logout"      : le lien de déconnexion
#
# Le token CSRF est généré côté serveur et validé à chaque soumission.
# En mode stateless, le token est signé cryptographiquement (APP_SECRET)
# plutôt que stocké en session → compatible avec les pages mises en cache
# et les architectures sans état.
# ══════════════════════════════════════════════════════════════════
# Enable stateless CSRF protection for forms and logins/logouts
framework:
    form:
        csrf_protection:
            token_id: submit    # ID commun à tous les formulaires de l'app

    csrf_protection:
        stateless_token_ids:
            - submit        # Formulaires (saisie pointage, admin…)
            - authenticate  # Connexion (form_login)
            - logout        # Déconnexion
