securite: #87 T3 cookies Secure centralises + CORS atteste (defaut inchange)

CHANGELOG.md

@@ -6,7 +6,7 @@ Format basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.1.0/),
 et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 > **En cours de développement** : les changements à venir sont listés dans la section
-> [Unreleased](#unreleased). La dernière version livrée est **2.28.2**.
+> [Unreleased](#unreleased). La dernière version livrée est **2.28.3**.
 
 ---
 
@@ -14,10 +14,21 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 ---
 
+## [2.28.3] — 2026-09-26
+
+---
+
 ## [2.28.2] — 2026-09-26
 
 ### Ajouté
 
+- **#87 (T3) — cookies `Secure` et CORS explicites.**
+  Helper `is_secure_cookies()` centralisé (défaut `false` conservé pour ne
+  pas casser les logins HTTP locaux) + avertissement au démarrage sur bind
+  non-loopback sans `Secure` ; `tests/test_security_headers.py` atteste
+  l'absence de CORS permissif (same-origin par défaut du navigateur) et les
+  en-têtes de durcissement.
+
 - **#87 (T2) — tests de durcissement : concurrence et regex.**
   `tests/test_hardening_concurrency.py` : créations/mises à jour/`login
   failures` concurrents sur `users.json` (zéro mise à jour perdue, JSON