test: isole le garde SSRF dans les tests fetch_url - plus de dependance au DNS reel BUG-092

CHANGELOG.md

@@ -6,7 +6,7 @@ Format basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.1.0/),
 et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 > **En cours de développement** : les changements à venir sont listés dans la section
-> [Unreleased](#unreleased). La dernière version livrée est **2.39.4**.
+> [Unreleased](#unreleased). La dernière version livrée est **2.39.5**.
 
 ---
 
@@ -14,6 +14,21 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 ---
 
+## [2.39.5] — 2026-09-29
+
+### Correction
+
+- **BUG-092 — les tests réseau ne dépendaient plus du DNS réel.** Trois tests
+  de `fetch_url` mockaient `httpx` mais laissaient le garde SSRF résoudre
+  `example.com` pour de vrai : sur un runner au DNS instable, le job CI
+  `test` échouait en `dns_error` au lieu d'atteindre la couche testée. Les
+  tests isolent désormais le garde — y compris la référence importée dans
+  `webrender`, qui échappait au premier correctif — et les tests de garde
+  SSRF continuent de traverser le vrai chemin. Contre-preuve : DNS coupé
+  globalement, la suite passe (1474 tests).
+
+---
+
 ## [2.39.4] — 2026-09-29
 
 ---