Kanbante : CORS recherche autorise les origines agent (federation console, defaut 2)

app/recherche.py

@@ -11,6 +11,8 @@ testables sans base ni serveur.
 - La CORS bornée n'autorise que ``GET /api/search``, et seulement
   pour les origines sœurs officielles **prod ET dev, listées
   explicitement** (``PROD_ORIGINS | DEV_ORIGINS``), **plus** les
+  origines du service d'agents (``AGENT_ORIGINS`` : console Spark
+  prod ET dev — fédération console, défaut 2), **plus** les
   origines résolues par ``app.config`` — jamais ``*``. Correctif
   2026-10-28 (fusion #68/#69, matrice constatée par Bruno) :
   l'ancienne allowlist ne contenait que l'environnement résolu
@@ -43,6 +45,14 @@ DEV_ORIGINS = frozenset({
     "https://tiktak-dev.dracodev.net",
     "https://kanbante-dev.dracodev.net",
 })
+# Origines du service d'agents (console Spark) : la page de
+# recherche de la console appelle /api/search depuis le navigateur
+# avec le cookie SSO — sans ces deux origines, le navigateur refuse
+# la lecture (fédération console, défaut 2). Jamais "*".
+AGENT_ORIGINS = frozenset({
+    "https://agent.dracodev.net",
+    "https://agent-dev.dracodev.net",
+})
 
 # Clés du dictionnaire rendu par render() (app/main.py).
 _SOEUR_KEYS = ("obsigate", "flowdeck", "tiktak", "kanbante")
@@ -96,7 +106,7 @@ def sister_origins(
                 "kanbante": urls.public_url,
             }
         except Exception:
-            return PROD_ORIGINS | DEV_ORIGINS
+            return PROD_ORIGINS | DEV_ORIGINS | AGENT_ORIGINS
     origins = set()
     for key in _SOEUR_KEYS:
         origin = origin_of((resolved or {}).get(key))
@@ -105,7 +115,7 @@ def sister_origins(
     # Correctif 2026-10-28 : prod ET dev toujours, quelle que soit
     # la résolution — ``resolved`` n'ajoute que des origines de
     # configuration sans jamais retirer une origine officielle.
-    return frozenset(origins) | PROD_ORIGINS | DEV_ORIGINS
+    return frozenset(origins) | PROD_ORIGINS | DEV_ORIGINS | AGENT_ORIGINS
 
 
 def cors_headers_for(