7.75.0 — Fusion : serveur MCP lecture seule + panneau Spark

- POST /mcp (JSON-RPC, dialecte TikTak/Kanbante) : list_collections,
  get_collection, get_page, search_pages, list_repos ; auth par les
  jetons d'API personnels existants (api_tokens)
- Panneau Spark vendangé de TikTak, branché sur l'action spark de la
  barre commune ; CSP connect-src : exception nommée agent.dracodev.net
- Tests : test_fusion_mcp_server (3) verts ; audit CSP mis à jour ;
  2 échecs locaux préexistants (DNS) inchangés

tests/test_audit_p0_fixes.py

@@ -291,8 +291,13 @@ def test_csp_no_cdn_and_vendor(client):
     import re as _re
 
     conn = _re.search(r"connect-src ([^;]*);", csp).group(1)
-    assert conn == "'self' ws://testserver wss://testserver", conn
-    assert " https:" not in conn and not conn.startswith("https:"), conn
+    # Exception Fusion (2026-10-21, 7.75.0) : le panneau Spark parle au
+    # service d'agents commun — seul hôte externe nommé autorisé.
+    assert conn == "'self' https://agent.dracodev.net ws://testserver wss://testserver", conn
+    # La source générique « https: » (tous hôtes) reste interdite ; seul
+    # l'hôte nommé du service d'agents est admis (voir l'assertion
+    # d'égalité ci-dessus, qui verrouille la liste complète).
+    assert "https:" not in conn.split(), conn
 
     # vues chart/map : références locales (aucun CDN — A28 : le fichier
     # collections.py est devenu un package, on balaie tous ses modules)