From 3bb8e87ef25cd89fc731a751bfbab018651cfcbc Mon Sep 17 00:00:00 2001
From: Bruno Charest <bruno.charest@gmail.com>
Date: Thu, 1 Oct 2026 23:09:45 -0400
Subject: [PATCH] =?UTF-8?q?fix:=20A42=20termin=C3=A9=20=E2=80=94=20client?=
 =?UTF-8?q?=20httpx=20partag=C3=A9=20par=20boucle=20(v7.28.0)?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

- `app/services/http_client.py` : `async with shared_client(timeout=15)
  as client:` remplace les 49 créations `async with httpx.AsyncClient(`
  de 14 fichiers (gitea ×21, providers oidc/oauth ×11, calendar ×4,
  automations ×3…) — le pool de connexions est réutilisé au lieu d'être
  recréé à chaque appel. __aexit__ no-op (le client partagé ne se ferme
  pas à la sortie).
- Cache par (boucle d'event, kwargs) en WeakKeyDictionary : un
  AsyncClient n'est JAMAIS partagé entre deux loops (piège des tests
  « Event loop is closed ») — une boucle par test = client propre
  collecté avec la boucle. Clé = kwargs triés, repr() pour les valeurs
  non hashables (`headers=` dict → TypeError rattrapé par la suite).
- Laissés délibérément : github_adapter (transport MockTransport
  injecté), webhook_outbound (client « own_client » fermé par la
  fonction).
- Tests : `test_http_client_shared_and_loop_scoped` (réutilisation mêmes
  kwargs / cloisonné kwargs / cloisonné loop) ; le stub des webhooks
  patche aussi la fabrique `http_client.httpx` + purge du cache (avant :
  webhook_outbound.httpx patché mais la fabrique partagée créait un vrai
  client → réseau réel dans les tests).

suite **1091/1091** · ruff OK · docs à jour
---
 CHANGELOG.md                        | 29 ++++++++++++
 ROADMAP.md                          |  4 +-
 VERSION                             |  2 +-
 WORKLOAD.md                         |  2 +-
 app/auth/oauth.py                   |  7 ++-
 app/auth/providers/__init__.py      | 14 +++---
 app/auth/providers/oidc_provider.py |  8 ++--
 app/main.py                         |  2 +-
 app/routers/board.py                |  4 +-
 app/routers/scim.py                 |  4 +-
 app/routers/sso.py                  |  4 +-
 app/services/automations.py         |  9 ++--
 app/services/calendar_sync.py       | 11 +++--
 app/services/gitea_client.py        | 45 ++++++++++---------
 app/services/http_client.py         | 68 +++++++++++++++++++++++++++++
 app/services/importers/url_fetch.py |  3 +-
 app/services/llm_client.py          |  3 +-
 app/services/llm_config.py          |  7 ++-
 app/services/og_fetcher.py          |  5 ++-
 app/services/webhook_outbound.py    |  5 ++-
 docs/openapi-v2.json                |  2 +-
 tests/test_audit_p0_fixes.py        | 27 ++++++++++++
 tests/test_webhooks_v2.py           |  6 +++
 23 files changed, 200 insertions(+), 71 deletions(-)
 create mode 100644 app/services/http_client.py

diff --git a/CHANGELOG.md b/CHANGELOG.md
index 98a4919..8ca74d7 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -1,5 +1,34 @@
 # Changelog - FlowDeck
 
+## v7.28.0 (2026-10-01) — Audit : A42 TERMINÉ (client httpx partagé)
+
+### Changed
+
+- **`app/services/http_client.py`** : `async with shared_client(timeout=15)
+  as client:` remplace les **49 créations `async with httpx.AsyncClient(`**
+  réparties dans 14 fichiers (gitea ×21, providers ×11, calendar ×4,
+  automations ×3, …) — le pool de connexions est réutilisé au lieu d'être
+  recréé à chaque appel
+- Cache **par (boucle d'event, kwargs)** en `WeakKeyDictionary` : un
+  `AsyncClient` n'est jamais partagé entre deux loops (le piège des tests :
+  « Event loop is closed ») — une boucle par test = un client propre,
+  collecté avec elle. Clé = kwargs triés, `repr()` pour les valeurs non
+  hashables (`headers=` dict)
+- Context manager no-op à la sortie (pas de fermeture du client partagé) ;
+  `ponytail:` documenté : pas d'`aclose` explicite, plafond = pools non
+  fermés à la main (GC des sockets), upgrade = lifespan
+- **Laissés délibérément** : `github_adapter` (transport MockTransport
+  injecté), `webhook_outbound` (client « own_client » fermé par la fonction)
+
+### Tests
+
+- `test_http_client_shared_and_loop_scoped` : réutilisation (mêmes kwargs),
+  cloisonnement par kwargs, cloisonnement par boucle (2× `asyncio.run`)
+- Stub webhooks : patch étendu à la fabrique `http_client.httpx` + purge du
+  cache (les tests patchaient `webhook_outbound.httpx`, contourné par la
+  fabrique partagée)
+- Suite complète : **1091/1091**
+
 ## v7.27.0 (2026-10-01) — Audit : A20 phase 2 (CDN retiré, connect-src fermé)
 
 ### Changed
diff --git a/ROADMAP.md b/ROADMAP.md
index 3aafcc7..1704a4d 100644
--- a/ROADMAP.md
+++ b/ROADMAP.md
@@ -1165,7 +1165,7 @@ Quality      DB views,      Agent IA     Palette →       Realtime +          E
 - [x] **A39 — HTMX chargé (49,7 Ko) pour 10 attributs réels** vs 265 `fetch(` manuels. *Fix : soit drop `htmx.min.js` et convertir les 10, soit rien.* — **décision 2026-10-01 : rien** (option proposée par l'audit) : 32 attributs `hx-*` réels répartis dans 6 templates (view-switch board/dashboard/notes, `hx-boost`) ; les convertir = refonte du view-switching en JS sans couverture automatisée, coût/risque > gain de 49,7 Ko. **Reconsidérer** dès qu'un test E2E couvre le view-switch.
 - [x] **A40 — Assets** : `?v=` incohérent (`app.css?v=5.1.1` mais CSS modifié le 2026-09-14 > dernier bump 2026-09-12 → servi depuis le cache), la même liste d'assets est **dupliquée** dans `sw.js:19-31`, htmx/alpine/prism vendored **sans bannière de version ni SRI**, 3 `<script src>` sans `?v=` (`base.html:116-118`). *Fix : une source unique `{{ asset_version }}` lue par `base.html` et `sw.js` + versions notées dans `static/js/VENDOR.md`. Effort : **S**.*
 - [x] **A41 — ~10 Ko de CSS mort** : 75 classes d'`app.css` jamais référencées (97 règles = 10 082 octets) — `.sidebar-invite*`, `.skeleton-*`, `.toast-error|info`, `.slash-group*`, `.block-h1..h4`, `.ftable-*` (18 revérifiées une à une). *Fix : purge one-shot contre `app/templates/**` + `app.js`. Effort : **XS**.*
-- [x] **A42 — Duplication backend résiduelle** : `Jinja Environment` réinstancié **29 fois** dans 10 routers (16 dans `dashboard.py` seul) — même diff que A10 ; 52 `httpx.AsyncClient` créés à la demande (aucun client partagé) ; cache Gitea sans évacuation des entrées expirées (`gitea_client.py:26-38`) ; `_data_dir()` copié 7 fois (`board.py:1696`, `dashboard.py:1127,1478`, `emoji.py:25`, `export.py:96`, `pipeline.py:30`, `meetings.py:32,58`) + 2 `/data` codés en dur (`dashboard.py:1535,1874`). *Fix : `app/templating.py` + `settings.data_dir` + un client httpx partagé.* — **fait 2026-10-01 (partiel)** : les 29 `Environment(...)` = A10 ✓ ; les 9 copies de `Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))` → `settings.data_dir` (property, lecture à chaque accès car les tests monkeypatchent l'env) ; cache Gitea : évacuation des entrées expirées à chaque écriture. **Reste** : le client httpx partagé (52 créations — un `AsyncClient` module-level est fragile avec les event loops de tests, à faire avec un cache par loop). Effort : **M**.
+- [x] **A42 — Duplication backend résiduelle** : `Jinja Environment` réinstancié **29 fois** dans 10 routers (16 dans `dashboard.py` seul) — même diff que A10 ; 52 `httpx.AsyncClient` créés à la demande (aucun client partagé) ; cache Gitea sans évacuation des entrées expirées (`gitea_client.py:26-38`) ; `_data_dir()` copié 7 fois (`board.py:1696`, `dashboard.py:1127,1478`, `emoji.py:25`, `export.py:96`, `pipeline.py:30`, `meetings.py:32,58`) + 2 `/data` codés en dur (`dashboard.py:1535,1874`). *Fix : `app/templating.py` + `settings.data_dir` + un client httpx partagé.* — **fait 2026-10-01 (partiel)** : les 29 `Environment(...)` = A10 ✓ ; les 9 copies de `Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))` → `settings.data_dir` (property, lecture à chaque accès car les tests monkeypatchent l'env) ; cache Gitea : évacuation des entrées expirées à chaque écriture. **Reste → fait 2026-10-01 (A42 TERMINÉ)** : `app/services/http_client.py` — `async with shared_client(timeout=15) as client:` (context manager no-op à la sortie) remplace les **49 créations `async with httpx.AsyncClient(` de 14 fichiers** ; cache **par (boucle d'event, kwargs)** en `WeakKeyDictionary` → un client jamais partagé entre deux loops (piège des tests : « Event loop is closed » évité, une boucle par test = un client propre collecté avec elle) ; clé = kwargs triés avec `repr()` pour les valeurs non hashables (`headers=` dict). **Laissés délibérément** : `github_adapter` (transport MockTransport injecté), `webhook_outbound` (client « own_client » fermé par la fonction). Test `test_http_client_shared_and_loop_scoped` (réutilisation mêmes kwargs, cloisonné kwargs, cloisonné loop) ; le stub des webhooks patche maintenant aussi la fabrique `http_client.httpx` + purge du cache. Suite 1091/1091. Effort : **M** (fait).
 - [x] **A43 — Dette mineure — PARTIEL** : `utcnow()` ✓ (15/15), health loggé ✓ (via A25) ; **reste** : `__CSRF_PLACEHOLDER__` (base.html, fenêtre de course JS) et le re-parse JSON de la palette par frappe : 22 `datetime.utcnow()` dépréciés (warnings dans les tests), `health` (`api.py:49`) avale db **et** gitea sans log (« degraded » sans raison + 1 aller-retour réseau par probe), `base.html:120` sert le littéral `__CSRF_PLACEHOLDER__` rempli côté JS (fenêtre de course) et `base.html:2292` re-parse ce JSON **à chaque frappe** de la palette sur un GET (où le CSRF ne s'applique pas). *Effort : **XS**.*
 
 ### ✅ Vérifié non-problème (ne pas re-checker)
@@ -1181,4 +1181,4 @@ Quality      DB views,      Agent IA     Palette →       Realtime +          E
 → Puis **A3–A8** (le bloc « fallback admin ») d'un seul tenant, puis **A10** (autoescape) qui débloque A18/A20.
 
 *Audit produit le 2026-09-30 · 43 items · aucun code modifié ( ROADMAP seul ).*
-→ **A1–A9 corrigés le 2026-09-30** : deps réinstallées (`pyotp`/`webauthn`/`cbor2`), rebinding de `settings` supprimé dans `test_v54.py` → **suite 1016/1016 verts**, cycle committé (`1706ad1`) + tag `v7.3.0` poussé, `.db`/fichiers de test désindexés, `APP_SECRET_KEY` roté dans `.env` (sessions révoquées) · **A3–A8 : 401 sans session sur les routes de compte (mdp actuel exigé), tokens `/api/v1` + `/api/user` sans session → 401, CRUD membres d'espace sous session+role admin, `_require_view`/`_require_edit` sans session → 404/401, création/lecture de page sous session, `/board/api/pages` + `/api/user` sortis du CSRF exempt, seed admin sans mdp en dur (aléatoire ou `FLOWDECK_ADMIN_PASSWORD`). Tests : client connecte par defaut (`_TestSessionAuth`), helper `anon()` sur les 40 tests d'anonymat → suite 1016/1016 + ruff OK, commit `d125eb3` · **A10 : `app/templating.py` (ENV partagé + autoescape `select_autoescape(["html"])`) remplace les 29 instantiations, `|safe` retriés (corps d'issue/commentaires echappes, `sidebar_config` en `|tojson`) → suite 1016/1016, version 7.3.1 · **A11 (traversal avatar) + A18 (vue publique : 404 restricted/private + html.escape)** : `tests/test_audit_p0_fixes.py`, suite 1019/1019, version 7.3.2 · **A12/A13/A15/A17/A22/A23/A24** : garde SSRF par hop, routers automations + /api sous session/Bearer, webhooks admin+URL publique, uploads validés, N+1 en GROUP BY/executemany, 2 doublons de routes supprimés → suite 1025/1025, version 7.3.3 · **A16** : exports + pièces jointes sous session + `can_view_page` → suite 1026/1026, version 7.3.4 · **A19 (partiel)** : 12 préfixes CSRF retirés après scan front (12 préfixes = tous ceux dont les appels portent déjà le header), reste 5 préfixes / 49 fetchs → suite 1026/1026, version 7.3.5 · **A19 terminé** : 46 call sites front équipés, plus aucun préfixe cookie-auth exempté → suite 1026/1026, version 7.3.6 · **A14** : fallback `admin` supprimé de `_current_user_id`/`_current_admin` (401 sans session), `api_base` validé scheme http(s) sans identifiants (hôtes privés acceptés = Ollama localhost, commentaire `ponytail:`) → suite 1027/1027, version 7.3.7 · **A25** : 84 `except Exception: pass` remplacés par `logger.exception(fn)` (19 fichiers, +`logger` manquants), try supprimé sur `materialize_properties` dans `create_collection_v2` et `apply_db_template_v2` (rollback au lieu d'un commit sans schéma), test de rollback · **A21 (partiel)** : `busy_timeout=5000` dans `get_conn()` → suite 1028/1028, version 7.3.8 · **A26/A33/A34/A35/A36/A43** : secret par défaut refusé au boot, rate limit (préfixes + settings + XFF + épurage), `_spawn()` pour les 10 schedulers, OpenAPI 511 chemins + README, 4 deps mortes purgées, 15 `utcnow()` → `now(UTC)` naïf → suite 1028/1028, version 7.3.9. · **A30/A37/A39/A40/A41** : `require_scope` câblé sur 69 sites + 12 fonctions mortes supprimées, CORS sans `*` (origines de `app_base_url` + regex dev/extensions), assets versionnés depuis `VERSION` (source unique), `app.css` -10,2 Ko de règles mortes, htmx = décision « rien » documentée → suite 1031/1031, version 7.4.0. · **A29/A42** : `services/publish.py` partagé (3 routers déléguent, 404 partout, board sous session), fuite `password_hash` corrigée sur `GET /api/users/me` v1 + contexte `/accounts`, `settings.data_dir` remplace les 9 copies d'env, cache Gitea évacue les expirés ; `/users/me` ×2 + collections ×3 = contrats versionnés, on garde ; reste A42 = client httpx partagé → suite 1034/1034, version 7.5.0. · **A31** : transaction par migration (`_apply_one`, rollback tout-ou-rien du DDL) + helper `columns()` remplaçant 25 copies de `PRAGMA table_info` (1 helper au lieu de 3 — les 2 autres seraient mort-nés) → suite 1036/1036, version 7.6.0. · **A20 (partiel)** : CSP nonce par requête — `unsafe-inline` retiré de `script-src`, 38 scripts templates + login constant + 3 scripts Python noncés, meta `htmx-config` pour htmx, `script-src-attr` pour les 74 `onclick=`, CDN chart/leaflet débloqués (déjà cassés avant) → suite 1037/1037, version 7.7.0. · **A21 phase 1** : 352 routes `async def` sans `await` → `def` (threadpool FastAPI, SQLite hors loop, zéro changement de logique — scan corps par corps) ; reste phase 2 = 311 routes avec `await` → `anyio.to_thread.run_sync` par bloc DB → suite 1037/1037, version 7.8.0. **Phase 2c faite 2026-10-01** : **+190 routes hors loop** (283 → 93 async, **86 % des 667 routes**) en 4 passes : (A) **racine auth** — `get_current_user` (session.py) était `async def` SANS aucun await (cookie decode = synchrone) + ses clones async (`agent._current_user_id/_workspace_id/_current_admin`, `sso._require_admin`) → `def`, **47 `await` supprimés** (dont 3 via l'alias `gcu`) ; (B) re-scan → 19 routes sans await flipées ; (C/D) **155 routes** json/événements → `Body(default={})` (formes : try/except `body = {}`, try/except `raise HTTPException(400)` → `Body(...)` requis (422 FastAPI, aucun test ne couvrait le 400), forme conditionnelle content-type → défaut `{}`) + `run_event_sync`. **Reste async (93, justifié)** : `request.form`/`upload.read`/`file.read` (14+5+3, corps de requête réellement asynchrone), gitea/llm/oidc (réseau), `_json_body` 9 (wrapper de validation), 2 JSON inline en argument, 1 fallback à logique (capture_frontend_error), 1 lecture conditionnelle dans web_clipper. Échecs : 3 seeds d'aliases `gcu` attrapés par la suite → corrigés → suite 1089/1089, version 7.26.0. · **A21 phase 2a** : `body` JSON → paramètre `Body(default={})` sur les 36 routes api_v2 dont c'était le seul `await` → conversion en `def` → api_v2 à 96/115 hors loop (19 async restantes : fire_event/form/gitea) → suite 1037/1037, version 7.9.0. · **A21 phase 2b** : `run_event_sync()` (asyncio.run dans le worker, événement attendu = déterministe) + les 15 routes json/événements en `def` → api_v2 bouclé à 111/115 (4 async = vrais awaits réseau) ; repo-wide 403 sync / 260 async → suite 1037/1037, version 7.10.0. · **A32 phase 1** : les 4 routers à 0 test couverts (webhooks/notes/sidebar_config/github_routes = 10 smokes, 0 réseau réel, échappement notes vérifié) ; reste quasi nuls library/api/dashboard/api_v2 → suite 1047/1047, version 7.11.0. · **A32 phase 2a** : library 1/10 → 8 routes couvertes ; découverte = 2 routes lisant la table fantôme `local_workspace_items` (500 systématique, 0 ref front) supprimées + `_format_size` mort → suite 1053/1053, version 7.12.0. · **A32 phase 2b** : api.py 3 → 16/22 routes couvertes (board-config, col-mapping, card, collaborators stubbé, frontend-error dédup, mutations checklist vérifiées en base) ; reste 6 routes gitea + dashboard/api_v2 → suite 1059/1059, version 7.13.0. · **A32 phase 2c** : api_v2 scan strict → 5 routes à 0 ref couvertes (formula, rollup, audit-logs avec portail vérifié, webhooks/events, verify-signature signé) → suite 1064/1064, version 7.14.0. · **A32 phase 2d** : dashboard scan strict = 44 routes à 0 ref, 10 couvertes (tags CRUD, page content→rename→trash vérifiés en base, tree HTML, avatar-color restauré, members) → suite 1069/1069, version 7.15.0. · **A32 phase 2e** : +9 routes dashboard (pages comptes sans hash, profile/password A3 403, token fd_+64hex, forge, settings/account 400, select cookie, breadcrumb) → suite 1075/1075, version 7.16.0. · **A32 phase 2f** : +7 routes dashboard centrées A16 (files traversal 403, download/file-content sans fuite, avatar 302 sans réseau, table-data + création de ligne) → suite 1079/1079, version 7.17.0. · **A32 phase 2g** : +13 routes dashboard (gitea-workspace HTML, projects CRUD, cycle items 5 routes, cycle tags d'item 5 routes avec ws dédié) → suite 1083/1083, version 7.18.0. · **A32 phase 2h → dashboard bloqué** : members (cycle complet + quirk tuple), upload-folder (validations seules), convert-to-database (vérifié en base, ordre FK) ; les 44 routes à 0 ref sont toutes exercées (faux positifs f-string rapprochés) → suite 1086/1086, version 7.19.0. · **A32 TERMINÉ** : 6 routes Gitea stubbées (canevas mutable, carte board, HTML `?format=html`, 404) + **bug prod `card_detail.html`/`fd_icon` corrigé** (500 garanti avant) → suite 1089/1089, version 7.20.0. · **A27 phase 1** : 7 templates sans Jinja → 9 fichiers static/js (4 243 L, -30 % du inline, node --check vert), eslint installé globalement → `eslint static/js` 0 erreur/120 warnings ; reste = blocs interpolés Jinja (~9 661 L) → suite 1089/1089, version 7.21.0. · **A27 phase 2a** : éditeur 2 516 L extrait via `#page-data` (PD.*), dérivé `is_shared` hoisté, 8 tests adaptés (source → static js / parsing JSON) → suite 1089/1089, version 7.22.0. · **A27 phase 2b** : local_workspace 2031 + settings 1093 + realtime 531 + board 146 extraits (recette config JSON, tojson au lieu d'interpolation JS) → suite 1089/1089, version 7.23.0. · **A27 phase 2c → extraction TERMINÉE** : database_table 1314 L (config JSON null-vs-objet, 2 branches Jinja remplacées par `DB_CONFIG`), bilan **11 874 L extraites, inline -85 % (13 904 → 2 022)** → suite 1089/1089, version 7.24.0. · **A27 lint TERMINÉ** : eslint 285 warnings → **0/0** (catch vides → binding optionnel, 24 lignes mortes, 10 fonctions `/* exported */` appelées par le HTML, 3 globaux réels en config) + 2 vrais correctifs (toasts settings jamais affichés → `window.showToast`, `_wsInitData` sans effet supprimé) → suite 1089/1089, version 7.25.0. · **A21 phase 2c → A21 TERMINÉ** : auth racine sync (47 await retirés, alias gcu rattrapé) + 155 routes json/événements → Body/run_event_sync + 19 flips → **283→93 async (86 % hors loop)** → suite 1089/1089, version 7.26.0. · **A20 phase 2** : chart/leaflet vendorisés (static/js/vendor, 8 fichiers), CSP sans aucun hôte CDN, connect-src `'self' ws://{host} wss://{host}` (exfil fermé), Google Fonts morts retirés, img-src https: gardé (unfurls) → suite 1090/1090, version 7.27.0 — reste A20 = unsafe-eval (Alpine+htmx, E2E d'abord).
+→ **A1–A9 corrigés le 2026-09-30** : deps réinstallées (`pyotp`/`webauthn`/`cbor2`), rebinding de `settings` supprimé dans `test_v54.py` → **suite 1016/1016 verts**, cycle committé (`1706ad1`) + tag `v7.3.0` poussé, `.db`/fichiers de test désindexés, `APP_SECRET_KEY` roté dans `.env` (sessions révoquées) · **A3–A8 : 401 sans session sur les routes de compte (mdp actuel exigé), tokens `/api/v1` + `/api/user` sans session → 401, CRUD membres d'espace sous session+role admin, `_require_view`/`_require_edit` sans session → 404/401, création/lecture de page sous session, `/board/api/pages` + `/api/user` sortis du CSRF exempt, seed admin sans mdp en dur (aléatoire ou `FLOWDECK_ADMIN_PASSWORD`). Tests : client connecte par defaut (`_TestSessionAuth`), helper `anon()` sur les 40 tests d'anonymat → suite 1016/1016 + ruff OK, commit `d125eb3` · **A10 : `app/templating.py` (ENV partagé + autoescape `select_autoescape(["html"])`) remplace les 29 instantiations, `|safe` retriés (corps d'issue/commentaires echappes, `sidebar_config` en `|tojson`) → suite 1016/1016, version 7.3.1 · **A11 (traversal avatar) + A18 (vue publique : 404 restricted/private + html.escape)** : `tests/test_audit_p0_fixes.py`, suite 1019/1019, version 7.3.2 · **A12/A13/A15/A17/A22/A23/A24** : garde SSRF par hop, routers automations + /api sous session/Bearer, webhooks admin+URL publique, uploads validés, N+1 en GROUP BY/executemany, 2 doublons de routes supprimés → suite 1025/1025, version 7.3.3 · **A16** : exports + pièces jointes sous session + `can_view_page` → suite 1026/1026, version 7.3.4 · **A19 (partiel)** : 12 préfixes CSRF retirés après scan front (12 préfixes = tous ceux dont les appels portent déjà le header), reste 5 préfixes / 49 fetchs → suite 1026/1026, version 7.3.5 · **A19 terminé** : 46 call sites front équipés, plus aucun préfixe cookie-auth exempté → suite 1026/1026, version 7.3.6 · **A14** : fallback `admin` supprimé de `_current_user_id`/`_current_admin` (401 sans session), `api_base` validé scheme http(s) sans identifiants (hôtes privés acceptés = Ollama localhost, commentaire `ponytail:`) → suite 1027/1027, version 7.3.7 · **A25** : 84 `except Exception: pass` remplacés par `logger.exception(fn)` (19 fichiers, +`logger` manquants), try supprimé sur `materialize_properties` dans `create_collection_v2` et `apply_db_template_v2` (rollback au lieu d'un commit sans schéma), test de rollback · **A21 (partiel)** : `busy_timeout=5000` dans `get_conn()` → suite 1028/1028, version 7.3.8 · **A26/A33/A34/A35/A36/A43** : secret par défaut refusé au boot, rate limit (préfixes + settings + XFF + épurage), `_spawn()` pour les 10 schedulers, OpenAPI 511 chemins + README, 4 deps mortes purgées, 15 `utcnow()` → `now(UTC)` naïf → suite 1028/1028, version 7.3.9. · **A30/A37/A39/A40/A41** : `require_scope` câblé sur 69 sites + 12 fonctions mortes supprimées, CORS sans `*` (origines de `app_base_url` + regex dev/extensions), assets versionnés depuis `VERSION` (source unique), `app.css` -10,2 Ko de règles mortes, htmx = décision « rien » documentée → suite 1031/1031, version 7.4.0. · **A29/A42** : `services/publish.py` partagé (3 routers déléguent, 404 partout, board sous session), fuite `password_hash` corrigée sur `GET /api/users/me` v1 + contexte `/accounts`, `settings.data_dir` remplace les 9 copies d'env, cache Gitea évacue les expirés ; `/users/me` ×2 + collections ×3 = contrats versionnés, on garde ; reste A42 = client httpx partagé → suite 1034/1034, version 7.5.0. · **A31** : transaction par migration (`_apply_one`, rollback tout-ou-rien du DDL) + helper `columns()` remplaçant 25 copies de `PRAGMA table_info` (1 helper au lieu de 3 — les 2 autres seraient mort-nés) → suite 1036/1036, version 7.6.0. · **A20 (partiel)** : CSP nonce par requête — `unsafe-inline` retiré de `script-src`, 38 scripts templates + login constant + 3 scripts Python noncés, meta `htmx-config` pour htmx, `script-src-attr` pour les 74 `onclick=`, CDN chart/leaflet débloqués (déjà cassés avant) → suite 1037/1037, version 7.7.0. · **A21 phase 1** : 352 routes `async def` sans `await` → `def` (threadpool FastAPI, SQLite hors loop, zéro changement de logique — scan corps par corps) ; reste phase 2 = 311 routes avec `await` → `anyio.to_thread.run_sync` par bloc DB → suite 1037/1037, version 7.8.0. **Phase 2c faite 2026-10-01** : **+190 routes hors loop** (283 → 93 async, **86 % des 667 routes**) en 4 passes : (A) **racine auth** — `get_current_user` (session.py) était `async def` SANS aucun await (cookie decode = synchrone) + ses clones async (`agent._current_user_id/_workspace_id/_current_admin`, `sso._require_admin`) → `def`, **47 `await` supprimés** (dont 3 via l'alias `gcu`) ; (B) re-scan → 19 routes sans await flipées ; (C/D) **155 routes** json/événements → `Body(default={})` (formes : try/except `body = {}`, try/except `raise HTTPException(400)` → `Body(...)` requis (422 FastAPI, aucun test ne couvrait le 400), forme conditionnelle content-type → défaut `{}`) + `run_event_sync`. **Reste async (93, justifié)** : `request.form`/`upload.read`/`file.read` (14+5+3, corps de requête réellement asynchrone), gitea/llm/oidc (réseau), `_json_body` 9 (wrapper de validation), 2 JSON inline en argument, 1 fallback à logique (capture_frontend_error), 1 lecture conditionnelle dans web_clipper. Échecs : 3 seeds d'aliases `gcu` attrapés par la suite → corrigés → suite 1089/1089, version 7.26.0. · **A21 phase 2a** : `body` JSON → paramètre `Body(default={})` sur les 36 routes api_v2 dont c'était le seul `await` → conversion en `def` → api_v2 à 96/115 hors loop (19 async restantes : fire_event/form/gitea) → suite 1037/1037, version 7.9.0. · **A21 phase 2b** : `run_event_sync()` (asyncio.run dans le worker, événement attendu = déterministe) + les 15 routes json/événements en `def` → api_v2 bouclé à 111/115 (4 async = vrais awaits réseau) ; repo-wide 403 sync / 260 async → suite 1037/1037, version 7.10.0. · **A32 phase 1** : les 4 routers à 0 test couverts (webhooks/notes/sidebar_config/github_routes = 10 smokes, 0 réseau réel, échappement notes vérifié) ; reste quasi nuls library/api/dashboard/api_v2 → suite 1047/1047, version 7.11.0. · **A32 phase 2a** : library 1/10 → 8 routes couvertes ; découverte = 2 routes lisant la table fantôme `local_workspace_items` (500 systématique, 0 ref front) supprimées + `_format_size` mort → suite 1053/1053, version 7.12.0. · **A32 phase 2b** : api.py 3 → 16/22 routes couvertes (board-config, col-mapping, card, collaborators stubbé, frontend-error dédup, mutations checklist vérifiées en base) ; reste 6 routes gitea + dashboard/api_v2 → suite 1059/1059, version 7.13.0. · **A32 phase 2c** : api_v2 scan strict → 5 routes à 0 ref couvertes (formula, rollup, audit-logs avec portail vérifié, webhooks/events, verify-signature signé) → suite 1064/1064, version 7.14.0. · **A32 phase 2d** : dashboard scan strict = 44 routes à 0 ref, 10 couvertes (tags CRUD, page content→rename→trash vérifiés en base, tree HTML, avatar-color restauré, members) → suite 1069/1069, version 7.15.0. · **A32 phase 2e** : +9 routes dashboard (pages comptes sans hash, profile/password A3 403, token fd_+64hex, forge, settings/account 400, select cookie, breadcrumb) → suite 1075/1075, version 7.16.0. · **A32 phase 2f** : +7 routes dashboard centrées A16 (files traversal 403, download/file-content sans fuite, avatar 302 sans réseau, table-data + création de ligne) → suite 1079/1079, version 7.17.0. · **A32 phase 2g** : +13 routes dashboard (gitea-workspace HTML, projects CRUD, cycle items 5 routes, cycle tags d'item 5 routes avec ws dédié) → suite 1083/1083, version 7.18.0. · **A32 phase 2h → dashboard bloqué** : members (cycle complet + quirk tuple), upload-folder (validations seules), convert-to-database (vérifié en base, ordre FK) ; les 44 routes à 0 ref sont toutes exercées (faux positifs f-string rapprochés) → suite 1086/1086, version 7.19.0. · **A32 TERMINÉ** : 6 routes Gitea stubbées (canevas mutable, carte board, HTML `?format=html`, 404) + **bug prod `card_detail.html`/`fd_icon` corrigé** (500 garanti avant) → suite 1089/1089, version 7.20.0. · **A27 phase 1** : 7 templates sans Jinja → 9 fichiers static/js (4 243 L, -30 % du inline, node --check vert), eslint installé globalement → `eslint static/js` 0 erreur/120 warnings ; reste = blocs interpolés Jinja (~9 661 L) → suite 1089/1089, version 7.21.0. · **A27 phase 2a** : éditeur 2 516 L extrait via `#page-data` (PD.*), dérivé `is_shared` hoisté, 8 tests adaptés (source → static js / parsing JSON) → suite 1089/1089, version 7.22.0. · **A27 phase 2b** : local_workspace 2031 + settings 1093 + realtime 531 + board 146 extraits (recette config JSON, tojson au lieu d'interpolation JS) → suite 1089/1089, version 7.23.0. · **A27 phase 2c → extraction TERMINÉE** : database_table 1314 L (config JSON null-vs-objet, 2 branches Jinja remplacées par `DB_CONFIG`), bilan **11 874 L extraites, inline -85 % (13 904 → 2 022)** → suite 1089/1089, version 7.24.0. · **A27 lint TERMINÉ** : eslint 285 warnings → **0/0** (catch vides → binding optionnel, 24 lignes mortes, 10 fonctions `/* exported */` appelées par le HTML, 3 globaux réels en config) + 2 vrais correctifs (toasts settings jamais affichés → `window.showToast`, `_wsInitData` sans effet supprimé) → suite 1089/1089, version 7.25.0. · **A21 phase 2c → A21 TERMINÉ** : auth racine sync (47 await retirés, alias gcu rattrapé) + 155 routes json/événements → Body/run_event_sync + 19 flips → **283→93 async (86 % hors loop)** → suite 1089/1089, version 7.26.0. · **A20 phase 2** : chart/leaflet vendorisés (static/js/vendor, 8 fichiers), CSP sans aucun hôte CDN, connect-src `'self' ws://{host} wss://{host}` (exfil fermé), Google Fonts morts retirés, img-src https: gardé (unfurls) → suite 1090/1090, version 7.27.0 — reste A20 = unsafe-eval (Alpine+htmx, E2E d'abord). · **A42 TERMINÉ** : `shared_client` (cache par boucle+kwargs, WeakKeyDictionary) remplace 49 créations httpx dans 14 fichiers, 2 sites laissés (transport injecté / own_client), stub webhooks étendu à la fabrique → suite 1091/1091, version 7.28.0.
diff --git a/VERSION b/VERSION
index f6b1800..757a860 100644
--- a/VERSION
+++ b/VERSION
@@ -1 +1 @@
-7.27.0
+7.28.0
diff --git a/WORKLOAD.md b/WORKLOAD.md
index e5ebd1e..589ba04 100644
--- a/WORKLOAD.md
+++ b/WORKLOAD.md
@@ -1,6 +1,6 @@
 # WORKLOAD — FlowDeck Notion Clone
 
-> **Début**: 2026-07-08 | **Version**: v7.27.0 (audit — A20 phase 2 : CDN retiré, connect-src fermé) | **Statut**: EN COURS 🔄
+> **Début**: 2026-07-08 | **Version**: v7.28.0 (audit — A42 TERMINÉ : client httpx partagé par boucle) | **Statut**: EN COURS 🔄
 > **Cible**: parité Notion + intégration forge · **Follow-ups v7.3 livrés**: sidebar teamspaces, notif `page.updated`, charts `number` + dashboards multi-DB, unfurl forge, UI Settings → Audit — voir `ROADMAP.md § v7.3.0`
 
 ## Avancement Global
diff --git a/app/auth/oauth.py b/app/auth/oauth.py
index 1c1475a..730339e 100644
--- a/app/auth/oauth.py
+++ b/app/auth/oauth.py
@@ -4,9 +4,8 @@ from __future__ import annotations
 import logging
 from urllib.parse import urlencode
 
-import httpx
-
 from app.config import settings
+from app.services.http_client import shared_client
 
 logger = logging.getLogger(__name__)
 
@@ -39,7 +38,7 @@ class GiteaOAuth:
     async def exchange_code(self, code: str) -> dict | None:
         """Exchange authorization code for access token."""
         try:
-            async with httpx.AsyncClient(timeout=15) as client:
+            async with shared_client(timeout=15) as client:
                 resp = await client.post(
                     self.TOKEN_URL,
                     data={
@@ -61,7 +60,7 @@ class GiteaOAuth:
     async def get_user(self, access_token: str) -> dict | None:
         """Get user info from Gitea API."""
         try:
-            async with httpx.AsyncClient(timeout=10) as client:
+            async with shared_client(timeout=10) as client:
                 resp = await client.get(
                     self.USER_URL,
                     headers={"Authorization": f"token {access_token}"},
diff --git a/app/auth/providers/__init__.py b/app/auth/providers/__init__.py
index 8c2b123..c097996 100644
--- a/app/auth/providers/__init__.py
+++ b/app/auth/providers/__init__.py
@@ -7,7 +7,7 @@ import time
 from abc import ABC, abstractmethod
 from urllib.parse import urlencode
 
-import httpx
+from app.services.http_client import shared_client
 
 logger = logging.getLogger(__name__)
 
@@ -76,7 +76,7 @@ class GiteaProvider(OAuthProvider):
             "grant_type": "authorization_code",
             "redirect_uri": redirect_uri or self.redirect_uri,
         }
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             r = await client.post(url, json=data, headers={"Accept": "application/json"})
             if r.status_code != 200:
                 logger.error("Gitea token exchange failed: %s", r.text)
@@ -85,7 +85,7 @@ class GiteaProvider(OAuthProvider):
 
     async def get_user(self, access_token: str) -> dict | None:
         url = f"{self.base}/api/v1/user"
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             r = await client.get(url, headers={"Authorization": f"token {access_token}"})
             if r.status_code != 200:
                 return None
@@ -100,7 +100,7 @@ class GiteaProvider(OAuthProvider):
 
     async def list_repositories(self, access_token: str) -> list[dict]:
         repos = []
-        async with httpx.AsyncClient(timeout=30) as client:
+        async with shared_client(timeout=30) as client:
             for page in range(1, 6):
                 r = await client.get(
                     f"{self.base}/api/v1/user/repos",
@@ -158,7 +158,7 @@ class GitHubProvider(OAuthProvider):
         )
 
     async def exchange_code(self, code: str, redirect_uri: str | None = None) -> dict | None:
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             r = await client.post(
                 self.token_url,
                 data={
@@ -179,7 +179,7 @@ class GitHubProvider(OAuthProvider):
 
     async def get_user(self, access_token: str) -> dict | None:
         url = f"{self.api_url}/user"
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             r = await client.get(
                 url,
                 headers={"Authorization": f"Bearer {access_token}", "Accept": "application/vnd.github.v3+json"},
@@ -197,7 +197,7 @@ class GitHubProvider(OAuthProvider):
 
     async def list_repositories(self, access_token: str) -> list[dict]:
         repos = []
-        async with httpx.AsyncClient(timeout=30) as client:
+        async with shared_client(timeout=30) as client:
             for page in range(1, 6):
                 r = await client.get(
                     f"{self.api_url}/user/repos",
diff --git a/app/auth/providers/oidc_provider.py b/app/auth/providers/oidc_provider.py
index 821c4f7..0f8943f 100644
--- a/app/auth/providers/oidc_provider.py
+++ b/app/auth/providers/oidc_provider.py
@@ -15,7 +15,7 @@ import secrets
 import time
 import warnings
 
-import httpx
+from app.services.http_client import shared_client
 
 logger = logging.getLogger(__name__)
 
@@ -59,7 +59,7 @@ async def discover(issuer_url: str) -> dict:
     if hit and now - hit[0] < _DISCOVERY_TTL:
         return hit[1]
     try:
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             r = await client.get(url)
             r.raise_for_status()
             doc = r.json()
@@ -112,7 +112,7 @@ async def exchange_code(
     if client_secret:
         auth = (client_id, client_secret)
     try:
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             r = await client.post(doc["token_endpoint"], data=data, auth=auth)
     except Exception as err:
         raise OIDCError(f"OIDC token request failed: {err}") from err
@@ -133,7 +133,7 @@ async def fetch_userinfo(doc: dict, access_token: str) -> dict:
     if not endpoint or not access_token:
         return {}
     try:
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             r = await client.get(endpoint, headers={"Authorization": f"Bearer {access_token}"})
         if r.status_code != 200:
             return {}
diff --git a/app/main.py b/app/main.py
index d540da6..3b18d5c 100644
--- a/app/main.py
+++ b/app/main.py
@@ -185,7 +185,7 @@ async def lifespan(_app: FastAPI):
 
 app = FastAPI(
     title="FlowDeck",
-    version="7.27.0",
+    version="7.28.0",
     docs_url="/docs",
     redoc_url="/redoc",
     lifespan=lifespan,
diff --git a/app/routers/board.py b/app/routers/board.py
index f95c917..70547c1 100644
--- a/app/routers/board.py
+++ b/app/routers/board.py
@@ -16,6 +16,7 @@ from app.routers.dashboard import _get_app_version
 from app.routers.sidebar_config import get_sidebar_config_sync
 from app.services.automations import fire_event, run_event_sync
 from app.services.gitea_client import gitea
+from app.services.http_client import shared_client
 from app.services.permission_manager import PermissionManager
 from app.services.publish import fire_published, fire_unpublished, publish, unpublish
 
@@ -1880,8 +1881,7 @@ async def _unfurl_repo(forge: str, owner: str, repo: str):
             if token:
                 info = await GitHubAdapter(access_token=token).get_repo_info(owner, repo)
             else:
-                import httpx
-                async with httpx.AsyncClient(timeout=10) as client:
+                async with shared_client(timeout=10) as client:
                     r = await client.get(
                         f"https://api.github.com/repos/{owner}/{repo}",
                         headers={"Accept": "application/vnd.github+json"},
diff --git a/app/routers/scim.py b/app/routers/scim.py
index 05e58ae..c99f7bb 100644
--- a/app/routers/scim.py
+++ b/app/routers/scim.py
@@ -18,6 +18,7 @@ from fastapi.responses import JSONResponse
 from app.auth.session import SessionManager
 from app.db import get_conn
 from app.services.api_v2_helpers import audit_log
+from app.services.http_client import shared_client
 
 router = APIRouter(tags=["scim"])
 SCIM_SCHEMAS = ["urn:ietf:params:scim:schemas:core:2.0:User"]
@@ -246,7 +247,6 @@ def create_domain(request: Request, body: dict = Body(default={})):
 @router.post("/api/v2/domain-claims/{domain_id}/verify")
 async def verify_domain(domain_id: int, request: Request):
     admin = _admin_session(request)
-    import httpx
     with get_conn() as conn:
         row = conn.execute("SELECT * FROM domain_claims WHERE id=?", (domain_id,)).fetchone()
         if not row:
@@ -254,7 +254,7 @@ async def verify_domain(domain_id: int, request: Request):
         claim = dict(row)
     url = f"https://{claim['domain']}/.well-known/flowdeck-verify.txt"
     try:
-        async with httpx.AsyncClient(timeout=10, follow_redirects=True) as client:
+        async with shared_client(timeout=10, follow_redirects=True) as client:
             resp = await client.get(url)
         ok = resp.status_code == 200 and claim["txt_token"] in (resp.text or "")
     except Exception:  # noqa: BLE001 — unreachable domain = not verified
diff --git a/app/routers/sso.py b/app/routers/sso.py
index c716ee3..4a6d894 100644
--- a/app/routers/sso.py
+++ b/app/routers/sso.py
@@ -24,6 +24,7 @@ from app.auth.providers import oidc_provider, saml_provider
 from app.auth.session import SessionManager
 from app.services import sso_provisioning as sso
 from app.services.api_v2_helpers import has_scope, resolve_bearer_token
+from app.services.http_client import shared_client
 
 logger = logging.getLogger(__name__)
 router = APIRouter(tags=["sso"])
@@ -436,10 +437,9 @@ async def _fetch_jwks(doc: dict) -> dict:
     url = doc.get("jwks_uri")
     if not url:
         raise oidc_provider.OIDCError("Discovery document has no jwks_uri")
-    import httpx
 
     try:
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             r = await client.get(url)
             r.raise_for_status()
             data = r.json()
diff --git a/app/services/automations.py b/app/services/automations.py
index 4899064..a5f77fd 100644
--- a/app/services/automations.py
+++ b/app/services/automations.py
@@ -26,10 +26,9 @@ import logging
 import time
 from datetime import UTC, datetime, timedelta
 
-import httpx
-
 from app.db import get_conn
 from app.services import notifications
+from app.services.http_client import shared_client
 
 logger = logging.getLogger(__name__)
 
@@ -179,7 +178,7 @@ async def _run_action(action: dict, context: dict, trigger_source: str) -> str:
         headers = {"Content-Type": "application/json", "X-FlowDeck-Event": context.get("event", "")}
         if secret:
             headers["X-FlowDeck-Secret"] = secret
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.post(url, json=context, headers=headers)
         if resp.status_code >= 400:
             raise RuntimeError(f"webhook returned HTTP {resp.status_code}")
@@ -719,7 +718,7 @@ async def fire_stepped_event(event: str, payload: dict) -> None:
 # ── v7.0.0 action backends (module-level = monkeypatchable in tests) ───────
 
 async def _post_slack(webhook_url: str, text: str) -> str:
-    async with httpx.AsyncClient(timeout=10) as client:
+    async with shared_client(timeout=10) as client:
         resp = await client.post(webhook_url, json={"text": text})
     if resp.status_code >= 400:
         raise RuntimeError(f"slack webhook returned HTTP {resp.status_code}")
@@ -765,7 +764,7 @@ async def _create_forge_issue(provider: str, owner: str, repo: str, title: str,
     if provider == "github":
         if not token:
             raise ValueError("github action needs a linked GitHub account (token)")
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             resp = await client.post(
                 f"https://api.github.com/repos/{owner}/{repo}/issues",
                 headers={"Authorization": f"Bearer {token}",
diff --git a/app/services/calendar_sync.py b/app/services/calendar_sync.py
index b4b9bc3..3a2969c 100644
--- a/app/services/calendar_sync.py
+++ b/app/services/calendar_sync.py
@@ -19,9 +19,8 @@ import time
 import uuid
 from datetime import UTC, datetime, timedelta
 
-import httpx
-
 from app.db import get_conn
+from app.services.http_client import shared_client
 
 logger = logging.getLogger(__name__)
 
@@ -125,7 +124,7 @@ async def google_list_events(tokens: dict, calendar_id: str,
     url = (f"https://www.googleapis.com/calendar/v3/calendars/{calendar_id}"
            f"/events?singleEvents=true&orderBy=startTime"
            f"&timeMin={time_min}&timeMax={time_max}")
-    async with httpx.AsyncClient(timeout=15) as client:
+    async with shared_client(timeout=15) as client:
         resp = await client.get(url, headers={"Authorization": f"Bearer {access}"})
     if resp.status_code == 401:
         raise SyncError("google token expired — relink the calendar")
@@ -150,7 +149,7 @@ async def google_push_event(tokens: dict, calendar_id: str, event: dict,
             "start": {"date": event.get("start", "")[:10]},
             "end": {"date": event.get("start", "")[:10]}}
     base = f"https://www.googleapis.com/calendar/v3/calendars/{calendar_id}/events"
-    async with httpx.AsyncClient(timeout=15) as client:
+    async with shared_client(timeout=15) as client:
         if remote_id:
             resp = await client.patch(f"{base}/{remote_id}",
                                       headers={"Authorization": f"Bearer {access}"}, json=body)
@@ -224,7 +223,7 @@ async def caldav_list_events(creds: dict, time_min: str, time_max: str) -> list[
     body = _CALDAV_REPORT.format(
         start=time_min.replace("-", "").split("T")[0] + "T000000Z",
         end=time_max.replace("-", "").split("T")[0] + "T000000Z")
-    async with httpx.AsyncClient(timeout=15, auth=auth if auth[0] else None) as client:
+    async with shared_client(timeout=15, auth=auth if auth[0] else None) as client:
         resp = await client.request("REPORT", url, content=body,
                                     headers={"Depth": "1",
                                              "Content-Type": "application/xml"})
@@ -245,7 +244,7 @@ async def caldav_push_event(creds: dict, event: dict, remote_id: str = "") -> st
         remote_id if remote_id.startswith("http") else f"{url}/{remote_id}")
     ics = _event_to_ics(uid.split("@")[0], event.get("title", ""),
                         event.get("start", ""), event.get("description", ""))
-    async with httpx.AsyncClient(timeout=15, auth=auth if auth[0] else None) as client:
+    async with shared_client(timeout=15, auth=auth if auth[0] else None) as client:
         resp = await client.put(href, content=ics, headers={"Content-Type": "text/calendar"})
     if resp.status_code >= 400:
         raise SyncError(f"caldav returned HTTP {resp.status_code}")
diff --git a/app/services/gitea_client.py b/app/services/gitea_client.py
index fed4bfd..391536c 100644
--- a/app/services/gitea_client.py
+++ b/app/services/gitea_client.py
@@ -5,9 +5,8 @@ import logging
 from datetime import datetime, timedelta
 from typing import Any
 
-import httpx
-
 from app.config import settings
+from app.services.http_client import shared_client
 
 logger = logging.getLogger(__name__)
 
@@ -48,7 +47,7 @@ class GiteaClient:
         if cached:
             return cached
 
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             resp = await client.get(
                 f"{self._base}/user/repos",
                 headers=self._headers,
@@ -65,7 +64,7 @@ class GiteaClient:
         if cached:
             return cached
 
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             resp = await client.get(
                 f"{self._base}/orgs/{org}/repos",
                 headers=self._headers,
@@ -82,7 +81,7 @@ class GiteaClient:
         cached = self._cached(cache_key)
         if cached:
             return cached
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             resp = await client.get(
                 f"{self._base}/repos/{owner}/{repo}",
                 headers=self._headers,
@@ -109,7 +108,7 @@ class GiteaClient:
         if cached:
             return cached
 
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.get(
                 f"{self._base}/user/orgs", headers=self._headers
             )
@@ -128,7 +127,7 @@ class GiteaClient:
         if cached:
             return cached
 
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             resp = await client.get(
                 f"{self._base}/repos/{owner}/{repo}/issues",
                 headers=self._headers,
@@ -140,7 +139,7 @@ class GiteaClient:
             return data
 
     async def get_issue(self, owner: str, repo: str, issue_id: int) -> dict:
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.get(
                 f"{self._base}/repos/{owner}/{repo}/issues/{issue_id}",
                 headers=self._headers,
@@ -163,7 +162,7 @@ class GiteaClient:
             payload["assignees"] = [assignee]
 
         self._invalidate_issue_cache(owner, repo)
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.post(
                 f"{self._base}/repos/{owner}/{repo}/issues",
                 headers=self._headers,
@@ -177,7 +176,7 @@ class GiteaClient:
     ) -> dict:
         """Update an issue (title, body, state, labels, milestone, assignees)."""
         self._invalidate_issue_cache(owner, repo)
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.patch(
                 f"{self._base}/repos/{owner}/{repo}/issues/{issue_id}",
                 headers=self._headers,
@@ -191,7 +190,7 @@ class GiteaClient:
     ) -> list[dict]:
         """Replace all labels on an issue (PUT endpoint)."""
         self._invalidate_issue_cache(owner, repo)
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.put(
                 f"{self._base}/repos/{owner}/{repo}/issues/{issue_id}/labels",
                 headers=self._headers,
@@ -210,7 +209,7 @@ class GiteaClient:
         self, owner: str, repo: str, issue_id: int
     ) -> list[dict]:
         """Get comments for an issue."""
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.get(
                 f"{self._base}/repos/{owner}/{repo}/issues/{issue_id}/comments",
                 headers=self._headers,
@@ -232,7 +231,7 @@ class GiteaClient:
         if cached:
             return cached
 
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.get(
                 f"{self._base}/repos/{owner}/{repo}/labels",
                 headers=self._headers,
@@ -252,7 +251,7 @@ class GiteaClient:
         if cached:
             return cached
 
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.get(
                 f"{self._base}/repos/{owner}/{repo}/milestones",
                 headers=self._headers,
@@ -267,7 +266,7 @@ class GiteaClient:
 
     async def list_webhooks(self, owner: str, repo: str) -> list[dict]:
         """List webhooks for a repo."""
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.get(
                 f"{self._base}/repos/{owner}/{repo}/hooks",
                 headers=self._headers,
@@ -292,7 +291,7 @@ class GiteaClient:
             "events": events,
             "active": True,
         }
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.post(
                 f"{self._base}/repos/{owner}/{repo}/hooks",
                 headers=self._headers,
@@ -303,7 +302,7 @@ class GiteaClient:
 
     async def delete_webhook(self, owner: str, repo: str, hook_id: int) -> bool:
         """Delete a webhook."""
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.delete(
                 f"{self._base}/repos/{owner}/{repo}/hooks/{hook_id}",
                 headers=self._headers,
@@ -319,7 +318,7 @@ class GiteaClient:
         if cached:
             return cached
 
-        async with httpx.AsyncClient(timeout=10) as client:
+        async with shared_client(timeout=10) as client:
             resp = await client.get(
                 f"{self._base}/repos/{owner}/{repo}/collaborators",
                 headers=self._headers,
@@ -341,7 +340,7 @@ class GiteaClient:
         cached = self._cached(cache_key)
         if cached:
             return cached
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             resp = await client.get(url, headers=self._headers)
             resp.raise_for_status()
             data = resp.json()
@@ -357,7 +356,7 @@ class GiteaClient:
         cached = self._cached(cache_key)
         if cached:
             return cached
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             resp = await client.get(
                 f"{self._base}/repos/{owner}/{repo}/contents/{path}",
                 headers=self._headers,
@@ -382,7 +381,7 @@ class GiteaClient:
         }
         if sha:
             body["sha"] = sha
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             resp = await client.put(
                 f"{self._base}/repos/{owner}/{repo}/contents/{path}",
                 headers=self._headers,
@@ -398,7 +397,7 @@ class GiteaClient:
 
     async def delete_file(self, owner, repo, path, sha, message):
         """Delete a file from the repo."""
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             resp = await client.delete(
                 f"{self._base}/repos/{owner}/{repo}/contents/{path}",
                 headers=self._headers,
@@ -422,7 +421,7 @@ class GiteaClient:
         cached = self._cached(key)
         if cached:
             return cached
-        async with httpx.AsyncClient(timeout=15) as client:
+        async with shared_client(timeout=15) as client:
             resp = await client.get(
                 f"{self._base}/repos/{owner}/{repo}/commits",
                 headers=self._headers,
diff --git a/app/services/http_client.py b/app/services/http_client.py
new file mode 100644
index 0000000..d81eb00
--- /dev/null
+++ b/app/services/http_client.py
@@ -0,0 +1,68 @@
+"""Client HTTP partagé (A42 — reliquat du audit).
+
+51 créations `httpx.AsyncClient(...)` éparpillées dans 15 fichiers = un
+nouveau pool de connexions par appel (pas de keep-alive). Ici le pool est
+réutilisé, **closé par boucle d'event** : un `AsyncClient` ne traverse pas
+de boucle à boucle (les tests en créent une par test → client propre par
+boucle, collecté avec elle).
+
+`async with shared_client(timeout=15) as client:` — même syntaxe que
+before, l'`__aexit__` est un no-op (on ne ferme pas le client partagé).
+
+ponytail: pas d'`aclose` explicite — le client meurt avec sa boucle
+(WeakKeyDictionary, les sockets sont fermés par le GC) ; plafond : le pool
+du loop produit n'est pas fermé à la main. Upgrade si besoin : lifespan
+qui ferme le client du loop principal.
+"""
+
+from __future__ import annotations
+
+import asyncio
+import weakref
+
+import httpx
+
+_clients: weakref.WeakKeyDictionary[asyncio.AbstractEventLoop, dict] = (
+    weakref.WeakKeyDictionary()
+)
+
+
+def _hashable(v) -> bool:
+    try:
+        hash(v)
+        return True
+    except TypeError:
+        return False
+
+
+def _key(kwargs: dict) -> tuple:
+    """Clé de cache = kwargs (timeout/auth/transport/headers…). Valeurs non
+    hashables (dict `headers=`…) → repr, même contrat que la clé."""
+    return tuple(
+        (k, v if _hashable(v) else repr(v))
+        for k, v in sorted(kwargs.items())
+    )
+
+
+def get_shared_client(**kwargs) -> httpx.AsyncClient:
+    loop = asyncio.get_running_loop()
+    per_loop = _clients.setdefault(loop, {})
+    k = _key(kwargs)
+    client = per_loop.get(k)
+    if client is None:
+        client = httpx.AsyncClient(**kwargs)
+        per_loop[k] = client
+    return client
+
+
+class shared_client:
+    """Context manager async : yield du client partagé, no-op à la sortie."""
+
+    def __init__(self, **kwargs):
+        self._kwargs = kwargs
+
+    async def __aenter__(self) -> httpx.AsyncClient:
+        return get_shared_client(**self._kwargs)
+
+    async def __aexit__(self, *exc) -> bool:
+        return False
diff --git a/app/services/importers/url_fetch.py b/app/services/importers/url_fetch.py
index 4ff6335..80faa48 100644
--- a/app/services/importers/url_fetch.py
+++ b/app/services/importers/url_fetch.py
@@ -12,6 +12,7 @@ from urllib.parse import urlparse
 import httpx
 
 from app.services.export import markdown_to_blocks
+from app.services.http_client import shared_client
 from app.services.importers.base import ImportPage, ImportResult
 from app.services.importers.html_notes import _html_to_markdown
 
@@ -61,7 +62,7 @@ async def fetch_url_result(url: str, *, transport: httpx.BaseTransport | None =
     safe_url = _validate_url(url)
     result = ImportResult(source="url")
     try:
-        async with httpx.AsyncClient(
+        async with shared_client(
             timeout=15, follow_redirects=True, transport=transport,
             headers={"User-Agent": "FlowDeck-Importer/1.0"},
         ) as client:
diff --git a/app/services/llm_client.py b/app/services/llm_client.py
index 1346400..466840d 100644
--- a/app/services/llm_client.py
+++ b/app/services/llm_client.py
@@ -27,6 +27,7 @@ from dataclasses import dataclass, field
 import httpx
 
 from app.config import settings
+from app.services.http_client import shared_client
 
 logger = logging.getLogger(__name__)
 
@@ -270,7 +271,7 @@ class LLMClient:
         if self.api_key:
             headers["Authorization"] = f"Bearer {self.api_key}"
         try:
-            async with httpx.AsyncClient(timeout=settings.agent_run_timeout_seconds) as client:
+            async with shared_client(timeout=settings.agent_run_timeout_seconds) as client:
                 resp = await client.post(self._endpoint(), json=payload, headers=headers)
                 resp.raise_for_status()
                 data = resp.json()
diff --git a/app/services/llm_config.py b/app/services/llm_config.py
index cbba77a..df94c83 100644
--- a/app/services/llm_config.py
+++ b/app/services/llm_config.py
@@ -14,6 +14,7 @@ import json
 import time
 
 from app.config import settings
+from app.services.http_client import shared_client
 from app.services.llm_client import PROVIDER_LABELS, PROVIDER_MODELS, PROVIDERS
 
 # Providers whose /v1/models lists far more entries than /v1/chat/completions
@@ -331,7 +332,6 @@ async def fetch_provider_models(provider: str, *, api_key: str = "",
     Anthropic's native model listing uses `x-api-key` + `anthropic-version`.
     Returns a de-duplicated list capped at 300 models.
     """
-    import httpx
 
     provider = provider.lower()
     base = (api_base or "").strip() or (PROVIDERS.get(provider) or (None, None))[0]
@@ -345,7 +345,7 @@ async def fetch_provider_models(provider: str, *, api_key: str = "",
     elif api_key:
         headers = {"Authorization": f"Bearer {api_key}"}
 
-    async with httpx.AsyncClient(timeout=timeout) as client:
+    async with shared_client(timeout=timeout) as client:
         resp = await client.get(f"{base_url}/models", headers=headers)
         if resp.status_code >= 400:
             body = (resp.text or "").strip()
@@ -405,7 +405,6 @@ async def _validate_chat_models(base_url: str, api_key: str, candidates: list[st
     """
     import asyncio
 
-    import httpx
 
     sem = asyncio.Semaphore(concurrency)
     start = time.monotonic()
@@ -427,7 +426,7 @@ async def _validate_chat_models(base_url: str, api_key: str, candidates: list[st
                 return None
             try:
                 async with sem:
-                    async with httpx.AsyncClient(timeout=timeout) as client:
+                    async with shared_client(timeout=timeout) as client:
                         resp = await client.post(url, headers=headers, json=payload)
                 code = resp.status_code
                 if code < 300 or code == 429:
diff --git a/app/services/og_fetcher.py b/app/services/og_fetcher.py
index 16f99b6..41e9514 100644
--- a/app/services/og_fetcher.py
+++ b/app/services/og_fetcher.py
@@ -12,6 +12,8 @@ import logging
 import re
 from urllib.parse import urljoin, urlparse
 
+from app.services.http_client import shared_client
+
 logger = logging.getLogger(__name__)
 
 _META_TAG_RE = re.compile(r"<meta\b[^>]*?>", re.I)
@@ -143,7 +145,6 @@ async def fetch_og_metadata(url: str, timeout: float = 6.0, transport=None) -> d
         src = "https://" + src
     base = {"url": src, "title": "", "description": "", "image": "", "site_name": "", "favicon": ""}
     try:
-        import httpx
 
         headers = {
             "User-Agent": "FlowDeck/5.5 bookmark-fetcher (+https://flowdeck.dracodev.net)",
@@ -152,7 +153,7 @@ async def fetch_og_metadata(url: str, timeout: float = 6.0, transport=None) -> d
         kwargs = {"timeout": timeout}
         if transport is not None:
             kwargs["transport"] = transport
-        async with httpx.AsyncClient(**kwargs) as client:
+        async with shared_client(**kwargs) as client:
             resp = await _get_checked(client, src, headers)
     except ValueError:
         # A12 : hôte privé/loopback ou trop de redirections → refus explicite.
diff --git a/app/services/webhook_outbound.py b/app/services/webhook_outbound.py
index abefda9..1cb8540 100644
--- a/app/services/webhook_outbound.py
+++ b/app/services/webhook_outbound.py
@@ -15,6 +15,7 @@ import time
 import httpx
 
 from app.db import get_conn
+from app.services.http_client import shared_client
 
 logger = logging.getLogger(__name__)
 
@@ -189,7 +190,7 @@ async def fire_event(event: str, payload: dict):
     if not subs:
         logger.debug("No subscribers for event: %s", event)
         return
-    async with httpx.AsyncClient(timeout=30.0) as client:
+    async with shared_client(timeout=30.0) as client:
         for sub in subs:
             try:
                 await deliver_to_sub(sub["id"], sub["url"], event,
@@ -219,7 +220,7 @@ async def retry_due_deliveries(now: float | None = None) -> int:
         ).fetchall()
     if not rows:
         return 0
-    async with httpx.AsyncClient(timeout=10) as client:
+    async with shared_client(timeout=10) as client:
         for r in rows:
             try:
                 payload = json.loads(r["payload"] or "{}")
diff --git a/docs/openapi-v2.json b/docs/openapi-v2.json
index 51a0803..21c9ba0 100644
--- a/docs/openapi-v2.json
+++ b/docs/openapi-v2.json
@@ -2,7 +2,7 @@
   "openapi": "3.1.0",
   "info": {
     "title": "FlowDeck",
-    "version": "7.27.0"
+    "version": "7.28.0"
   },
   "paths": {
     "/auth/register": {
diff --git a/tests/test_audit_p0_fixes.py b/tests/test_audit_p0_fixes.py
index 0c4d5f5..a602a4d 100644
--- a/tests/test_audit_p0_fixes.py
+++ b/tests/test_audit_p0_fixes.py
@@ -309,6 +309,33 @@ def test_csp_no_cdn_and_vendor(client):
         assert len(r.content) > 500, (path, len(r.content))
 
 
+def test_http_client_shared_and_loop_scoped():
+    """A42 : le client HTTP partagé est réutilisé dans la même boucle,
+    cloisonné par kwargs, et JAMAIS partagé entre deux boucles (un
+    AsyncClient lié à une boucle morte lèverait « Event loop is closed »)."""
+    import asyncio
+
+    from app.services.http_client import shared_client
+
+    async def same_loop():
+        async with shared_client(timeout=15) as a:
+            async with shared_client(timeout=15) as b:
+                assert a is b, "même boucle + mêmes kwargs = même client"
+            async with shared_client(timeout=30) as c:
+                assert c is not a, "kwargs différents = client différent"
+        return a
+
+    first = asyncio.run(same_loop())
+    # nouvelle boucle (façon tests : une boucle par test) → nouveau client
+    async def other_loop():
+        async with shared_client(timeout=15) as d:
+            assert d is not first, "client jamais réutilisé sur une boucle morte"
+            return d
+
+    second = asyncio.run(other_loop())
+    assert second is not first
+
+
 def test_no_duplicate_routes():
     """A24 : deux routes même méthode+chemin → l'une écrase silencieusement l'autre."""
     from app.main import app
diff --git a/tests/test_webhooks_v2.py b/tests/test_webhooks_v2.py
index 439928b..91a4de3 100644
--- a/tests/test_webhooks_v2.py
+++ b/tests/test_webhooks_v2.py
@@ -357,6 +357,12 @@ def _patch_async_client(monkeypatch, handler) -> None:
         RequestError=httpx.RequestError,
     )
     monkeypatch.setattr(webhook_outbound, "httpx", stub)
+    # A42 : la fabrique partagée crée les clients — elle doit voir le stub
+    # (boucle neuve par test → aucun cache à purger, on purge par sécurité).
+    from app.services import http_client as _hc
+
+    monkeypatch.setattr(_hc, "httpx", stub)
+    _hc._clients.clear()
 
 
 @pytest.mark.asyncio