fix(shorts): anti-Forbidden Dailymotion + selecteur icon-only

- DM: embed mute par defaut (comme /watch) + son sur action explicite
- helmet: Referrer-Policy strict-origin-when-cross-origin (Dailymotion exige un Referer)
- searchVideosPage DM: champs allow_embed/width/height/language/owner.id
- iframes shorts/watch: allow fullscreen (conforme embed officiel DM)
- selecteur shorts icon-only (pastilles + globe cyclique)

server/index.mjs

@@ -957,6 +957,12 @@ app.use(helmet({
   crossOriginEmbedderPolicy: false,
   // Allow loading cross‑origin images
   crossOriginResourcePolicy: { policy: 'cross-origin' },
+  // Dailymotion exige un Referer sur la page d'embed (sans lui, le player
+  // bloque la lecture). Le défaut helmet (`no-referrer`) coupait le Referer
+  // de toute la page : on envoie l'origine (recommandation Dailymotion
+  // "Referrer policy and Player embedding", valeur par défaut des navigateurs
+  // depuis 2021). Les iframes précisent déjà leur propre referrerpolicy.
+  referrerPolicy: { policy: 'strict-origin-when-cross-origin' },
 }));
 app.use(express.json());
 app.use(express.urlencoded({ extended: true }));