From acaae92e3ae4cd2318bc2cc448fc46b2d2bab4a7 Mon Sep 17 00:00:00 2001
From: bruno <bruno.charest@gmail.com>
Date: Wed, 28 Oct 2026 12:10:51 -0400
Subject: [PATCH] Fusion #69 : Alertes unifiees (app/main.py)

---
 app/main.py | 12 ++++++++++++
 1 file changed, 12 insertions(+)

diff --git a/app/main.py b/app/main.py
index da57dc7..68f25cc 100644
--- a/app/main.py
+++ b/app/main.py
@@ -239,6 +239,18 @@ app.add_middleware(RateLimitMiddleware)
 _CORS_ORIGINS = sorted(
     {o.rstrip("/") for o in (settings.app_base_url or "").split() if o.startswith(("http://", "https://"))}
 )
+# Fusion #69 : le panneau Alertes unifiées lit /api/notifications
+# depuis les hôtes soeurs, avec credentials — leurs origines doivent
+# donc figurer dans allow_origins (résolution draco_urls : explicite
+# > hôte de la requête > dérivation > défaut officiel ; hors requête,
+# la configuration seule). Lecture seule (GET) ; les POST restent
+# soumis au CSRFMiddleware.
+from app.services import draco_urls as _draco_urls69
+_toutes69 = _draco_urls69.toutes()
+_CORS_ORIGINS = sorted(set(_CORS_ORIGINS) | {
+    _draco_urls69.origine(_toutes69[k])
+    for k in ("obsigate", "flowdeck", "tiktak", "kanbante")
+} - {""})
 # Hors prod : dev local + origines d'extension (Web Clipper, Bearer uniquement —
 # pas de cookie → `allow_credentials` ne s'applique pas à ces origines).
 app.add_middleware(