# .cursorrules — Cursor AI Enforced Guardrails
You are operating inside a repository audited by AEGIS-AST for EU Cyber Resilience Act compliance.

# AEGIS-AST DETERMINISTIC ENGINEERING GUARDRAILS — FINTECH-PAY-API
> Généré automatiquement par **AEGIS-AST v2.0 (AI Code Entropy, Supply-Chain & CRA Compliance Engine)**.
> Toute génération de code assistée par IA dans ce dépôt DOIT respecter strictement ces règles.

## 1. ANTI-DUPLICATION AST & RÉUTILISATION DES FONCTIONS EXISTANTES
Avant de créer une nouvelle fonction de validation, de calcul ou de formattage, **tu DOIS vérifier et réutiliser** les fonctions existantes du projet :
- `provision_merchant_signing_keys()` in `crypto_vault.py` (lines 9-23, Python)
- `encrypt_cardholder_pan_pqc_safe()` in `crypto_vault.py` (lines 26-32, Python)
- `verifyCheckoutSession()` in `frontend_checkout.ts` (lines 7-18, TypeScript/JavaScript)
- `evaluate_cross_border_surcharge()` in `kyc_compliance.py` (lines 8-41, Python)
- `load_kyc_rules_config()` in `kyc_compliance.py` (lines 44-51, Python)
- `reconcile_merchant_settlements_n_squared()` in `ledger_reconciler.py` (lines 7-28, Python)
- `compute_dynamic_merchant_fee()` in `payment_gateway.py` (lines 15-48, Python)
- `dispatch_webhook_notification()` in `payment_gateway.py` (lines 51-64, Python)
- `calculate_clearing_commission()` in `sepa_settlement.py` (lines 8-41, Python)
- `generate_sepa_batch_checksum()` in `sepa_settlement.py` (lines 44-56, Python)

### Clones Structurels Actuellement Interdits (À Factoriser) :
- Unifier `evaluate_cross_border_surcharge` (`kyc_compliance.py`) et `compute_dynamic_merchant_fee` (`payment_gateway.py`)
- Unifier `evaluate_cross_border_surcharge` (`kyc_compliance.py`) et `calculate_clearing_commission` (`sepa_settlement.py`)
- Unifier `compute_dynamic_merchant_fee` (`payment_gateway.py`) et `calculate_clearing_commission` (`sepa_settlement.py`)

## 2. TOLÉRANCE ZÉRO SUR LE MASQUAGE D'ERREURS ("NO SILENT ERROR MASKING")
Conformément aux exigences d'observabilité du **Cyber Resilience Act (UE 2024/2847 - Art. 14)** :
- **INTERDICTION STRICTE** d'écrire `except: pass`, `except Exception: pass`, `except Exception: return None` en Python.
- **INTERDICTION STRICTE** d'écrire `catch (e) {}` ou `catch (err) { console.log(err); }` en TypeScript/JavaScript.
- Toute exception capturée DOIT être typée, journalisée de façon structurée (`logger.exception(...)`) et relancée ou convertie en erreur domaine explicite.

## 3. COMPLEXITÉ COGNITIVE & PERFORMANCE FINOPS
- Aucune fonction ne doit dépasser **80 lignes** ou une **Complexité Cognitive > 12**.
- **INTERDICTION STRICTE** des boucles imbriquées $O(N^2)$ contenant des requêtes SQL, des appels ORM ou des requêtes HTTP (`fetch`, `axios`, `httpx`, `cursor.execute`). Utilise systématiquement le pré-indexage par `dict`/`Map` en $O(1)$ et des requêtes batchées.
- Supprime systématiquement tout import inutilisé (*Zombie Import*).

## 4. BOUCLIER SUPPLY-CHAIN & ANTI-SLOPSQUATTING
- **N'importe JAMAIS** un package absent de `requirements.txt`, `pyproject.toml` ou `package.json` (*Phantom Dependency*).
- **Packages Autorisés & Vérifiés dans ce dépôt :**
  `pydantic` (PyPI v2.6.1)
- **Packages STRICTEMENT INTERDITS (Slopsquatting / Hallucinations IA ou CVE actives) :**
  `py-quantum-sepa-validator` (PyPI — SLOPSQUATTING / HALLUCINATION), `stripe-ai-fraud-shield-sdk` (npm — SLOPSQUATTING / HALLUCINATION), `fastapi==0.109.0` (CVE-2024-24762 — VULNÉRABLE), `pyyaml==5.3.1` (CVE-2020-14343 — VULNÉRABLE), `cryptography==42.0.5` (GHSA-537c-gmf6-5ccf — VULNÉRABLE), `cryptography==42.0.5` (CVE-2024-12797 — VULNÉRABLE), `cryptography==42.0.5` (GHSA-h4gh-qq45-vh27 — VULNÉRABLE), `cryptography==42.0.5` (CVE-2026-69249 — VULNÉRABLE), `cryptography==42.0.5` (CVE-2026-34073 — VULNÉRABLE), `cryptography==42.0.5` (CVE-2026-26007 — VULNÉRABLE), `axios==1.6.7` (CVE-2026-44494 — VULNÉRABLE), `axios==1.6.7` (CVE-2026-44495 — VULNÉRABLE), `axios==1.6.7` (CVE-2025-62718 — VULNÉRABLE), `axios==1.6.7` (CVE-2026-42044 — VULNÉRABLE), `axios==1.6.7` (CVE-2026-67313 — VULNÉRABLE), `axios==1.6.7` (CVE-2026-25639 — VULNÉRABLE)

## 5. POLITIQUE CRYPTOGRAPHIQUE POST-QUANTIQUE (NIST FIPS 203/204 & ANSSI)
- **ALGORITHMES INTERDITS / CASSÉS :** `MD5`, `SHA-1`, `DES`, `3DES`, `RC4`, `AES-ECB`.
- **ALGORITHMES CLASSIQUES SOUS SURVEILLANCE QUANTIQUE (Algorithme de Shor) :** Ne pas introduire de nouvelles clés `RSA-2048` ou `ECDSA` en dur sans couche d'abstraction d'agilité cryptographique préparant `ML-KEM (Kyber - FIPS 203)` et `ML-DSA (Dilithium - FIPS 204)`.
- **STANDARDS OBLIGATOIRES :** `AES-256-GCM`, `SHA-256` / `SHA3-256`, `Argon2id` pour les mots de passe.
- **SECRETS :** Aucune clé API, token JWT ou secret à entropie de Shannon $H(X) > 4.2$ bits/caractère ne doit figurer dans le code source. Utilise uniquement des variables d'environnement.
