From 883ededa8fe96ad7145f2d11a1228b3c1b5c7844 Mon Sep 17 00:00:00 2001
From: bruno <bruno.charest@gmail.com>
Date: Wed, 28 Oct 2026 13:45:52 -0400
Subject: [PATCH] CORS recherche (fusion #68/#69) : allowlist soeurs prod+dev
 explicites

---
 backend/recherche_cors.py | 28 ++++++++++++++++------------
 1 file changed, 16 insertions(+), 12 deletions(-)

diff --git a/backend/recherche_cors.py b/backend/recherche_cors.py
index af90390..14a3366 100644
--- a/backend/recherche_cors.py
+++ b/backend/recherche_cors.py
@@ -8,12 +8,16 @@ Ce module n'autorise donc que :
 
 - le chemin ``/api/search`` (jamais les autres routes, jamais les
   écritures) ;
-- les origines sœurs : celles de ``backend.draco_config``
-  (``urls_publiques()`` : explicite > dérivation par l'hôte de
-  l'agent > défaut officiel), **plus** les origines prod ou ``-dev``
-  officielles correspondant à l'hôte de la requête — ce second
-  ensemble couvre le cas où la configuration seule ne déclare pas
-  l'environnement courant ;
+- les origines sœurs : les origines officielles **prod ET dev,
+  listées explicitement** (``PROD_ORIGINS | DEV_ORIGINS``), **plus**
+  celles de ``backend.draco_config`` (``urls_publiques()`` :
+  explicite > dérivation par l'hôte de l'agent > défaut officiel)
+  — jamais ``*``. Correctif 2026-10-28 (fusion #68/#69, matrice
+  constatée par Bruno) : l'ancienne allowlist ne contenait que
+  l'environnement de la configuration (plus celui de l'hôte de la
+  requête), jamais les deux à la fois — une page de l'autre
+  environnement voyait sa section afficher « Injoignable depuis
+  cet hôte (CORS ou réseau) » ;
 - avec credentials (le cookie SSO ``draco_session``, accepté par
   ``/api/search`` via le repli de ``backend.auth.middleware``, ou
   le cookie natif ``access_token``).
@@ -104,12 +108,12 @@ def sister_origins(resolved: dict | None = None, request_host: str | None = None
         origin = origin_of((resolved or {}).get(key))
         if origin:
             origins.add(origin)
-    if is_dev_host(request_host):
-        origins |= DEV_ORIGINS
-    elif is_prod_host(request_host):
-        origins |= PROD_ORIGINS
-    if not origins:
-        return PROD_ORIGINS | DEV_ORIGINS
+    # Correctif 2026-10-28 : prod ET dev toujours — ``request_host``
+    # ne restreint plus l'allowlist (il ne servait qu'à ajouter
+    # l'environnement de la requête, désormais inclus d'office).
+    # ``resolved`` n'ajoute que des origines de configuration sans
+    # jamais retirer une origine officielle.
+    origins |= PROD_ORIGINS | DEV_ORIGINS
     return frozenset(origins)