# 🎤 **SCRIPT COMPLET (PRÊT À LIRE)**

*(Tu peux changer la manière de parler : ici, ton ton est posé, professionnel et pédagogique.)*

---

## 🟦 **INTRO (10–15 secondes)**

> **"Bonjour à tous, ici Yoann, développeur spécialisé Django, VueJS et Flutter.
> Bienvenue sur cette nouvelle série où je vous montre comment construire une authentification moderne, sécurisée et professionnelle avec Django Allauth.
> Cette vidéo servira de base pour tout le reste : on va analyser et configurer ensemble Allauth, l’OTP, le WebAuthn, Axes contre les attaques brute-force, et le throttling de l’API.
> C’est exactement la configuration que j’utilise dans mes projets pro, et que j’installe pour mes clients."**

---

## 🟦 **PLAN RAPIDE (10 secondes)**

> **"Dans cette première vidéo, on va simplement lire et comprendre chaque ligne de configuration du fichier settings.py, pour savoir à quoi elle sert et pourquoi elle est importante dans un projet moderne."**

---

# 🟩 **PARTIE 1 – INSTALLED_APPS (2 min)**

> **"On commence par `INSTALLED_APPS`.
> Je vais passer chaque ligne qui concerne directement l’authentification."**

Puis tu déroules la description, simple et claire :

* **django.contrib.sites** → indispensable pour Allauth, gestion multi-domaine.
* **allauth**, **allauth.account**, **allauth.headless** → cœur du système d’authentification.
* **allauth.mfa** → ajoute le multi-facteur moderne : TOTP, WebAuthn, recovery codes.
* **django_otp + plugins** → les fondations techniques du MFA.
* **axes** → protection brute-force au niveau du serveur.
* **rest_framework + simplejwt** → API + tokens.
* **corsheaders** → indispensables si vous avez un frontend externe comme VueJS ou Flutter.
* **users** → modèle utilisateur custom.

---

# 🟩 **PARTIE 2 – MIDDLEWARE (2 min)**

> **"Ensuite, les middlewares. Ici, l’ordre est vraiment important."**

Tu commentes les éléments clés :

* **CORS** avant tout → autorise les frontends externes.
* **SecurityMiddleware** → protections navigateur.
* **AccountMiddleware** → couche interne Allauth.
* **OTPMiddleware** → active le MFA au niveau de la requête.
* **AxesMiddleware** → intercepte les tentatives de connexion.

> **"Tous ces middlewares travaillent ensemble pour construire une authentification solide et moderne."**

---

# 🟩 **PARTIE 3 – AUTHENTICATION_BACKENDS (1 min)**

> **"Ensuite, les backends d’authentification qui définissent comment Django vérifie les identifiants."**

Puis :

* **AxesStandaloneBackend** → bloque les attaques avant même Django.
* **ModelBackend** → login Django classique.
* **Allauth AuthenticationBackend** → ajoute email-login, social login et MFA.

> **"L’ordre est crucial : on veut qu’Axes intercepte les abus en premier."**

---

# 🟩 **PARTIE 4 – REST_FRAMEWORK (2 minutes)**

> **"Ici on configure réellement l’API, et surtout son niveau de sécurité."**

Détails :

* Auth par **Session** (Allauth Headless)
* Auth par **JWT** (mobile + SPA)
* **IsAuthenticated** par défaut
* **Format JSON uniquement**
* **Throttling** :

  * Anonyme → 10/min
  * Authentifié → 50/min

> **"C’est une protection API essentielle pour limiter les abus."**

---

# 🟩 **PARTIE 5 – Config Allauth générale (2 min)**

> **"Maintenant, on arrive au cœur d’Allauth : les paramètres de compte et email."**

Tu lis et expliques :

* Vérification email obligatoire
* Expiration 1 jour
* Resend email → activé
* Connexion uniquement via email
* Champs d’inscription réduits
* Activation via code → activée
* Gestion avancée du rate-limiting Allauth :

  * login
  * login_failed
  * signup
  * change_password
  * add_email

> **"C’est un vrai système complet de protection anti-abus."**

---

# 🟩 **PARTIE 6 – MFA / OTP / WebAuthn (2 min)**

> **"Passons au cœur de la sécurité moderne : la double authentification."**

Tu expliques :

* **TOTP** avec Google Authenticator
* **Passkeys / WebAuthn** avec Windows Hello, FaceID, TouchID
* **Recovery codes**
* **Issuer = Depthlux** (ton branding !)

> **"Le login avec Passkey, c’est exactement ce que les grosses plateformes utilisent aujourd’hui."**

---

# 🟩 **PARTIE 7 – Allauth Headless (1 min)**

> **"Si vous utilisez Vue, Flutter ou React, cette section est indispensable."**

Tu expliques :

* HEADLESS_ONLY
* HEADLESS_CLIENTS
* HEADLESS_FRONTEND_URLS (lien vers le frontend pour reset password, signup, email confirm…)

> **"Allauth devient totalement API-first, parfaitement compatible mobile et SPA."**

---

# 🟩 **PARTIE 8 – CORS (1 min)**

Rappelle :

* Pas de CORS = impossible de se connecter depuis un frontend externe.
* Credentials obligatoires pour session + CSRF.

---

# 🟩 **PARTIE 9 – Axes (1 min)**

> **"Ici on configure la protection contre les attaques par force brute."**

Tu expliques :

* 5 échecs → blocage
* cooldown 15 min
* reset on success
* blocage par IP

---

# 🟩 **PARTIE 10 – Sécurité Django + Sessions + CSRF (1 min)**

Tu expliques :

* HSTS
* XSS
* Cookies sécurisés
* SameSite
* CSRF cookies compatibles SPA

---

# 🟦 **CONCLUSION – APPEL À L’ACTION (30 sec)**

> **"Voilà, vous connaissez maintenant toute la configuration nécessaire pour construire une authentification moderne avec Django : Allauth, l’OTP, WebAuthn, Axes, et le throttling API.
> Dans la prochaine vidéo, on va implémenter concrètement le flux d’inscription, puis le login classique, puis le MFA, et enfin le WebAuthn avec Passkeys.
> Si vous avez un projet Django, une API à sécuriser, ou si vous souhaitez mettre en place une authentification professionnelle, contactez-moi : je propose des prestations et des accompagnements pour structurer vos projets."**

> **"N'oubliez pas de liker, vous abonner, et on se voit dans la prochaine vidéo."**

---

# 🎁 BONUS :

Si tu veux, je peux te préparer :

✔ Un **plan complet de la série** (8 vidéos).
✔ Le **sous-titrage automatique**.
✔ La **description YouTube optimisée SEO**.
✔ Le **visuel miniature** (prompt pour IA).
✔ La **démonstration de code Django + Vue pour la vidéo 2**.

Souhaites-tu l’un de ceux-là ?