diff --git a/CHANGELOG.md b/CHANGELOG.md
index db31c3a..f0d42bf 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -1,5 +1,19 @@
 # Changelog - FlowDeck
 
+## v7.76.1 (2026-10-22) — Correctif : le MCP était bloqué par le CSRF
+
+### Corrigé
+
+- **Tout client MCP réel recevait 403 sur `initialize`** : le
+  middleware CSRF exigeait un jeton de session pour tout POST hors
+  préfixes exemptés, et `/mcp` n'y était pas — alors que c'est du
+  machine-à-machine authentifié par jeton d'API (Bearer), comme
+  `/scim/v2`. Les tests ne voyaient rien : leur client porte une
+  session et un CSRF. `/mcp` rejoint les préfixes exemptés du CSRF
+  (son authentification propre est inchangée : sans jeton valide,
+  toujours 401). Test de régression ajouté : client Bearer anonyme,
+  sans session ni CSRF.
+
 ## v7.76.0 (2026-10-21) — Fusion : serveur MCP en écriture
 
 ### Ajouté