app/main.py

@@ -438,10 +438,16 @@ class DracoAlertesCorsMiddleware(BaseHTTPMiddleware):
         if request.url.path != "/api/events":
             return await call_next(request)
         from app.config import resoudre_urls_draco
+        from app.recherche import DEV_ORIGINS, PROD_ORIGINS, origin_of
 
         urls = resoudre_urls_draco(request.headers.get("host"))
-        soeurs = {urls.sso_url, urls.flowdeck_url, urls.tiktak_url,
-                  urls.public_url}
+        # Correctif CORS alertes (fusion #69, 2026-10-28) : comme
+        # pour /api/search, les origines sœurs prod ET dev sont
+        # listées explicitement — l'ancienne allowlist (environnement
+        # résolu seul) refusait les pages de l'autre environnement.
+        soeurs = ({origin_of(u) for u in (urls.sso_url, urls.flowdeck_url,
+                                          urls.tiktak_url, urls.public_url)}
+                  | set(PROD_ORIGINS) | set(DEV_ORIGINS)) - {None}
         origine = request.headers.get("origin", "")
         if origine not in soeurs:
             return await call_next(request)