7.75.0 — Fusion : serveur MCP lecture seule + panneau Spark

- POST /mcp (JSON-RPC, dialecte TikTak/Kanbante) : list_collections,
  get_collection, get_page, search_pages, list_repos ; auth par les
  jetons d'API personnels existants (api_tokens)
- Panneau Spark vendangé de TikTak, branché sur l'action spark de la
  barre commune ; CSP connect-src : exception nommée agent.dracodev.net
- Tests : test_fusion_mcp_server (3) verts ; audit CSP mis à jour ;
  2 échecs locaux préexistants (DNS) inchangés

app/middleware/security.py

@@ -130,7 +130,10 @@ class ContentSecurityPolicyMiddleware(BaseHTTPMiddleware):
         # connect-src fermé : plus de `https:` (aucun fetch cross-origin
         # côté front — grep négatif) et websockets scopés à l'hôte de la
         # requête ({host}) → plus de canal d'exfil vers un tiers.
-        "connect-src 'self' ws://{host} wss://{host}; "
+        # Exception Fusion (2026-10-21) : le panneau Spark parle au
+        # service d'agents commun (premier parti, même programme) —
+        # seul hôte externe nommé, rien d'autre ne s'ouvre.
+        "connect-src 'self' https://agent.dracodev.net ws://{host} wss://{host}; "
         "media-src 'self' blob:; "
         "frame-src 'self'; "
         "object-src 'none'; "