Flowdeck 7.84.8 : avatar Spark flottant (commons v0.1.10)

CHANGELOG.md

@@ -1,3 +1,21 @@
+## v7.84.8 (2026-10-29) — Barre commune : rouge Spark, avatar flottant, Alertes cloche seule
+
+- **Barre d'apps v0.1.10 vendangée (dracodev-commons)** : `static/css/draco-barre.css` remplacé verbatim par la v0.1.10 ; `static/js/vendor/draco-barre.js` inchangé (déjà identique à commons entre v0.1.9 et v0.1.10) ; fragment `app/templates/_draco_bar.html` porté à la v0.1.10, le reste de son intégration Flowdeck (URL `draco_urls()`, `onAction`, nonce CSP, `asset_version`) est inchangé.
+- **Rouge Spark** : `--agent` rose `#c2437e` → rouge `#c00000` (échantillonné dans le logo Spark) ; onglet agent `--app #c00000`, marque = logo Spark (26 px) au lieu du ✦.
+- **Bouton Spark rose supprimé** de la barre, remplacé par le bouton avatar flottant bas-centre (cercle personnage Spark, `static/img/avatar-spark.png`, `data-act="spark"` → le panneau Spark de l'hôte, comme l'ancien bouton).
+- **Alertes** : cloche seule, sans libellé — bouton moins large.
+- **Cache** : le bump 7.84.7 → 7.84.8 change aussi `asset_version`, donc les navigateurs ne garderont pas l'ancienne barre.
+
+## v7.84.7 (2026-10-29) — Barre commune : les 5 logos dans le menu et la barre
+
+- **Barre d'apps v0.1.9 vendangée (dracodev-commons)** : `static/js/vendor/draco-barre.js` et `static/css/draco-barre.css` remplacés verbatim par la v0.1.9 (les fichiers vendangés précédents étaient identiques à l'octet près à ceux de commons avant la v0.1.9, aucune adaptation locale n'est perdue) ; fragment `app/templates/_draco_bar.html` porté à la v0.1.9, le reste de son intégration Flowdeck (URL `draco_urls()`, `onAction`, nonce CSP) est inchangé.
+- **Icônes** : les 5 tuiles de la barre — et donc du menu de la marque, qui les clone — sont désormais les logos fournis, tels quels, jamais redessinés : ObsiGate (arbre), Flowdeck (cartes), TikTak (logo officiel SVG), Kanbante (cycle vert), Console Spark (étoile rouge validée). Fichiers servis depuis `static/img/logos/` (copie de `ui/barre-apps/logos/` de commons, PNG 180 px) ; l'entrée « Console Spark » du menu clone l'icône de l'onglet agent. Les glyphes texte ▤/▦/✓/▥/✦ disparaissent des onglets (la marque ✦ et le bouton Spark gardent leur ✦).
+- **Cache** : le bump 7.84.6 → 7.84.7 change aussi `asset_version`, donc les navigateurs ne garderont pas les anciennes icônes.
+
+## v7.84.6 (2026-10-28) — Recherche console : CORS Flowdeck sans doublons (PR #41)
+
+- **CORS recherche (PR #41)** : le middleware de recherche remplace désormais les en-têtes CORS existants au lieu de les empiler — le CORSMiddleware global posait déjà Allow-Credentials: true, l'ancien middleware ajoutait les siens par-dessus (« true, true » rejeté par le navigateur) ; l'onglet Flowdeck de la recherche console agent-dev n'est plus injoignable.
+
 ## v7.84.5 (2026-10-28) — Corrections console/recherche : texte parasite, onglets, CORS console
 
 - **Barre (PR #37)** : suppression du texte parasite « Chantier 5 » rendu au-dessus du header.

VERSION

@@ -1 +1 @@
-7.84.5
+7.84.8

app/middleware/recherche_cors.py

@@ -193,7 +193,32 @@ class RechercheCorsMiddleware:
             if message["type"] == "http.response.start":
                 cors = cors_headers_for(origin, request_host=request_host)
                 if cors is not None:
-                    message["headers"] = list(message.get("headers", [])) + [
+                    # Remplacer, pas empiler (défaut 3b, 2026-10-28) :
+                    # le CORSMiddleware global de l'application pose
+                    # déjà Access-Control-Allow-Credentials: true sur
+                    # TOUTES les réponses (comportement Starlette avec
+                    # allow_credentials=True, même pour une origine
+                    # hors allowlist et hors /api/search) ; empiler les
+                    # en-têtes de recherche donnait, sur /api/search
+                    # depuis agent-dev, Allow-Credentials en double
+                    # (« true, true » ≠ « true » pour le contrôle CORS
+                    # du navigateur → fetch rejeté → « injoignable
+                    # (CORS ou réseau) ») et, depuis une sœur
+                    # (origine déjà dans la allowlist globale),
+                    # Allow-Origin en double (rejet certain). Les
+                    # hôtes TikTak/Kanbante, sans ce cumul, répondent
+                    # avec des en-têtes uniques — d'où l'échec
+                    # Flowdeck seul. Une origine non autorisée
+                    # traverse sans modification (comportement
+                    # antérieur préservé : le seul en-tête global
+                    # reste, sans Allow-Origin, donc bloqué).
+                    restants = [
+                        (k, v) for k, v in message.get("headers", [])
+                        if k.decode("latin-1").lower() not in (
+                            "access-control-allow-origin",
+                            "access-control-allow-credentials",
+                            "vary")]
+                    message["headers"] = restants + [
                         (k.lower().encode("latin-1"), v.encode("latin-1"))
                         for k, v in cors.items()
                     ]

app/templates/_draco_bar.html

@@ -1,5 +1,5 @@
 {# Barre d'apps commune dracodev — Fusion ACC-1.1 (issue #17).
-   Snippet FIGÉ vendangé depuis Projets/dracodev-commons v0.1.6
+   Snippet FIGÉ vendangé depuis Projets/dracodev-commons v0.1.10
    (ui/barre-apps/) : ne pas modifier la structure ici ; toute évolution
    passe par une nouvelle version de commons.
    CSS/JS : /static/css/draco-barre.css, /static/js/vendor/draco-barre.js.
@@ -8,35 +8,45 @@
    par défaut, noms en -dev déclarés dans le .env de l'environnement).
    5e onglet Console Spark (data-app="agent", draco_urls().agent),
    après Kanbante ; l'entrée « Console Spark » du menu de la marque
-   est conservée (menu construit par draco-barre.js depuis les onglets). #}
+   est conservée (menu construit par draco-barre.js depuis les onglets).
+   Icônes logos v0.1.9 (2026-10-29) : les 5 tuiles sont les logos
+   fournis, tels quels, servis depuis /static/img/logos/ (copie de
+   ui/barre-apps/logos/ de dracodev-commons) — jamais de glyphe
+   texte, jamais de redessin ; l'entrée « Console Spark » du menu
+   clone l'icône de l'onglet agent (draco-barre.js).
+   v0.1.10 (2026-10-29) : --agent rose → rouge Spark #c00000 ;
+   marque ✦ → logo Spark (26 px) ; bouton « Spark » rose SUPPRIMÉ
+   de la barre, remplacé par le bouton avatar flottant bas-centre
+   (static/img/avatar-spark.png, data-act="spark" → panneau de l'hôte) ;
+   Alertes = cloche seule, sans libellé. JS inchangé depuis v0.1.9. #}
 <link rel="stylesheet" href="/static/css/draco-alertes.css?v={{ asset_version }}">
 <header class="draco-bar" data-current="flowdeck">
     <div class="draco-bar-zone draco-bar-gauche">
         <button type="button" class="draco-icon-btn" data-act="rail" aria-label="Barre latérale">☰</button>
         <a class="draco-brand" href="/" data-act="apps" aria-haspopup="true" aria-expanded="false" aria-label="dracodev — changer d&#39;application" title="Changer d&#39;application">
-            <span class="draco-brand-mark">✦</span><span class="draco-brand-name">dracodev</span>
+            <span class="draco-brand-mark"><img src="/static/img/logos/spark.png" alt="" width="26" height="26"></span><span class="draco-brand-name">dracodev</span>
         </a>
         <nav class="draco-apptabs" aria-label="Applications">
             <a class="draco-apptab" data-app="obsigate" href="{{ draco_urls().obsigate }}/">
-                <span class="draco-apptab-ico" style="--app:#7a5af5">▤</span>
+                <span class="draco-apptab-ico" style="--app:#7a5af5" data-icon="obsigate"><img src="/static/img/logos/obsigate.png" alt="ObsiGate" width="30" height="30"></span>
                 <span class="draco-apptab-txt"><strong>ObsiGate</strong><small>Notes</small></span>
             </a>
             <a class="draco-apptab" data-app="flowdeck" href="{{ draco_urls().flowdeck }}/">
-                <span class="draco-apptab-ico" style="--app:#2f6fed">▦</span>
+                <span class="draco-apptab-ico" style="--app:#2f6fed" data-icon="flowdeck"><img src="/static/img/logos/flowdeck.png" alt="Flowdeck" width="30" height="30"></span>
                 <span class="draco-apptab-txt"><strong>Flowdeck</strong><small>Projets</small></span>
             </a>
             <a class="draco-apptab" data-app="tiktak" href="{{ draco_urls().tiktak }}/">
-                <span class="draco-apptab-ico" style="--app:#e8762c">✓</span>
+                <span class="draco-apptab-ico" style="--app:#e8762c" data-icon="tiktak"><img src="/static/img/logos/tiktak.svg" alt="TikTak" width="30" height="30"></span>
                 <span class="draco-apptab-txt"><strong>TikTak</strong><small>Tâches</small></span>
                 <span class="draco-badge" data-badge="tiktak" hidden>0</span>
             </a>
             <a class="draco-apptab" data-app="kanbante" href="{{ draco_urls().kanbante }}/">
-                <span class="draco-apptab-ico" style="--app:#0d9488">▥</span>
+                <span class="draco-apptab-ico" style="--app:#0d9488" data-icon="kanbante"><img src="/static/img/logos/kanbante.png" alt="Kanbante" width="30" height="30"></span>
                 <span class="draco-apptab-txt"><strong>Kanbante</strong><small>Kanban</small></span>
                 <span class="draco-badge" data-badge="kanbante" hidden>0</span>
             </a>
             <a class="draco-apptab" data-app="agent" href="{{ draco_urls().agent }}/">
-                <span class="draco-apptab-ico" style="--app:#c2437e">✦</span>
+                <span class="draco-apptab-ico" style="--app:#c00000" data-icon="agent"><img src="/static/img/logos/spark.png" alt="Console Spark" width="30" height="30"></span>
                 <span class="draco-apptab-txt"><strong>Console Spark</strong><small>Agent commun</small></span>
             </a>
         </nav>
@@ -57,16 +67,12 @@
         </div>
         <button type="button" class="draco-alertes" data-act="alertes" aria-label="Alertes unifiées">
             <svg viewBox="0 0 24 24" width="19" height="19" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M6 8a6 6 0 0 1 12 0c0 7 3 9 3 9H3s3-2 3-9"/><path d="M10.3 21a1.94 1.94 0 0 0 3.4 0"/></svg>
-            <span class="draco-alertes-txt">Alertes</span>
             <span class="draco-badge" data-badge="alertes" hidden>0</span>
         </button>
-        <button type="button" class="draco-spark" data-act="spark" aria-label="Ouvrir Spark, l'agent commun">
-            <span class="draco-spark-ico">✦</span><span class="draco-spark-txt">Spark</span>
-            <span class="draco-badge" data-badge="spark" hidden>0</span>
-        </button>
         <button type="button" class="draco-avatar" data-act="compte" aria-label="Compte" aria-haspopup="menu" aria-expanded="false" title="{{ user.get('full_name') if user and user.get('full_name') else '' }}">{{ user.full_name[:1].upper() if user and user.get('full_name') else 'F' }}</button>
     </div>
 </header>
+<button type="button" class="draco-spark-flottant" data-act="spark" aria-label="Ouvrir Spark, l'agent commun"><img src="/static/img/avatar-spark.png" alt="" width="64" height="64"></button>
 <div class="draco-bar-rappel" data-act="rappel-entete" hidden>✦ dracodev — afficher l'en-tête</div>
 <script nonce="{{ csp_nonce() }}">
     /* Configuration Flowdeck de la barre commune (Fusion ACC-1.1).

static/css/draco-barre.css

@@ -7,6 +7,9 @@
    menu des applications) ; l'avatar est un vrai <button>.
    Correctif fusion #70 (SANS bump) : bouton trois points et menu par
    défaut supprimés ; le menu de la marque gagne « Console Spark ».
+   v0.1.10 : rose --agent → rouge Spark #c00000 ; marque = logo Spark ;
+   bouton Spark supprimé (remplacé par l'avatar flottant bas-centre) ;
+   Alertes icône seule.
    Jetons repris du prototype validé Console v7.2.
    Thème : clair par défaut, sombre via [data-theme="dark"] sur <html>
    ou prefers-color-scheme si l'app intégratrice ne force rien. */
@@ -14,7 +17,7 @@
 .draco-bar {
   --bg: #f2f2f0; --surface: #ffffff; --surface-2: #e9eae6; --surface-3: #f6f6f3;
   --ink: #1b1d1a; --ink-2: #5c615a; --ink-3: #787d75; --line: #dedfd9;
-  --agent: #c2437e; --danger: #cf4444;
+  --agent: #c00000; --danger: #cf4444;
   position: relative;
   height: 60px; box-sizing: border-box;
   display: grid; grid-template-columns: auto minmax(200px, 520px) auto;
@@ -37,7 +40,8 @@
 .draco-brand { display: flex; align-items: center; gap: 7px; color: var(--ink); text-decoration: none; font-weight: 800; cursor: pointer; border-radius: 10px; padding: 4px 6px; margin: -4px -6px; }
 .draco-brand:hover { background: var(--surface-2); }
 .draco-brand:focus-visible { outline: 2px solid var(--agent); outline-offset: 2px; }
-.draco-brand-mark { color: var(--agent); font-size: 24px; line-height: 1; }
+.draco-brand-mark { line-height: 0; }
+.draco-brand-mark img { width: 26px; height: 26px; border-radius: 8px; object-fit: cover; display: block; }
 
 /* Menu des applications — construit par le JS depuis les onglets */
 .draco-apps-menu {
@@ -94,6 +98,13 @@
   width: 30px; height: 30px; flex: none; display: grid; place-items: center;
   border-radius: 9px; background: var(--app); color: #fff; font-size: 15px;
 }
+/* Icônes logos (2026-10-29, corrigé le même jour) : l'image du logo
+ * fourni, telle quelle, remplit la tuile 30 px — jamais de glyphe
+ * texte, jamais de redessin. Le fond de la tuile est transparent :
+ * les logos PNG portent déjà leur fond (dégradé), le SVG TikTak
+ * reste sur le fond de la barre. */
+.draco-apptab-ico { background: transparent; }
+.draco-apptab-ico img { width: 30px; height: 30px; display: block; border-radius: 9px; object-fit: cover; }
 .draco-apptab-txt { display: none; flex-direction: column; line-height: 1.15; }
 .draco-apptab-txt strong { font-size: 14px; font-weight: 700; }
 .draco-apptab-txt small { font-size: 11.5px; color: var(--ink-2); }
@@ -131,18 +142,23 @@
 
 /* Alertes — la cloche ne disparaît JAMAIS (correctif v7.2) */
 .draco-alertes {
-  position: relative; display: flex; align-items: center; gap: 7px; height: 38px;
-  padding: 0 11px; border-radius: 10px; border: 1px solid var(--line);
+  position: relative; display: flex; align-items: center; height: 38px;
+  padding: 0 9px; border-radius: 10px; border: 1px solid var(--line);
   background: transparent; color: var(--ink); font: inherit; cursor: pointer;
 }
 
-/* Spark */
-.draco-spark {
-  position: relative; display: flex; align-items: center; gap: 7px; height: 38px;
-  padding: 0 14px; border: 0; border-radius: 10px; cursor: pointer;
-  background: var(--agent); color: #fff; font: inherit; font-weight: 700;
+/* Bouton avatar Spark flottant — bas-centre, ouvre le panneau Spark
+   de l'hôte via data-act="spark" (délégation globale existante).
+   La console Spark ne l'inclut pas : son fragment est propre. */
+.draco-spark-flottant {
+  position: fixed; left: 50%; bottom: 20px; transform: translateX(-50%);
+  z-index: 65; width: 64px; height: 64px; padding: 0; border: 0;
+  border-radius: 50%; background: transparent; cursor: pointer;
+  box-shadow: 0 8px 28px rgb(0 0 0 / .45);
 }
-.draco-spark .draco-badge { border-color: var(--agent); }
+.draco-spark-flottant img { width: 64px; height: 64px; border-radius: 50%; object-fit: cover; display: block; }
+.draco-spark-flottant:hover { transform: translateX(-50%) scale(1.05); }
+.draco-spark-flottant:focus-visible { outline: 2px solid var(--agent); outline-offset: 3px; }
 
 .draco-icon-btn {
   width: 38px; height: 38px; border-radius: 10px; border: 1px solid transparent;
@@ -169,7 +185,7 @@
   .draco-bar { grid-template-columns: auto minmax(200px, 440px) auto; }
 }
 @media (max-width: 1200px) {
-  .draco-search-txt, .draco-search kbd, .draco-alertes-txt, .draco-spark-txt { display: none; }
+  .draco-search-txt, .draco-search kbd { display: none; }
   .draco-search { width: 38px; padding: 0; justify-content: center; }
   .draco-bar { grid-template-columns: auto auto 1fr; }
   .draco-bar-droite { justify-content: flex-end; }

static/img/logos/tiktak.svg

@@ -0,0 +1,8 @@
+<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 240 240">
+  <!-- TikTak — deux arcs (les deux temps), coche-flèche. Bleu #0076fb, orange #fc750c.
+       Géométrie mesurée sur le visuel validé par Bruno (variante B). -->
+  <path d="M 38.2 101.1 A 84 84 0 0 1 201.8 101.1" fill="none" stroke="#0076fb" stroke-width="28" stroke-linecap="round"/>
+  <path d="M 201.5 140.3 A 84 84 0 0 1 38.5 140.3" fill="none" stroke="#fc750c" stroke-width="28" stroke-linecap="round"/>
+  <polyline points="80,129 106,146 163,84" fill="none" stroke="#0076fb" stroke-width="24" stroke-linecap="round" stroke-linejoin="round"/>
+  <path d="M 128 80 L 163 84 L 167 122" fill="none" stroke="#0076fb" stroke-width="22" stroke-linecap="round" stroke-linejoin="round"/>
+</svg>

static/js/vendor/draco-barre.js

@@ -369,7 +369,10 @@
      * de l'agent commun (URL agent résolue — explicite > -dev >
      * défaut prod ; aucun hôte spark-dev inventé). data-app="agent"
      * l'intègre à refreshMenuHrefs/applyUrls/setCurrent comme les
-     * autres items ; l'icône ✦ reprend la couleur agent du CSS. */
+     * autres items ; son icône CLONE celle de l'onglet agent
+     * (2026-10-29, logos barre-apps, corrigé le même jour) : le logo
+     * fourni, tel quel, jamais redessiné — le CSS --agent (rose) des
+     * autres éléments de la barre n'est pas changé ici. */
     var sep = document.createElement("div");
     sep.className = "draco-menu-sep";
     sep.setAttribute("aria-hidden", "true");
@@ -379,10 +382,18 @@
     sparkItem.href = resolvedUrls.agent || "#";
     sparkItem.dataset.app = "agent";
     sparkItem.setAttribute("role", "menuitem");
-    var sparkIco = document.createElement("span");
-    sparkIco.className = "draco-apptab-ico";
-    sparkIco.setAttribute("style", "--app:#c2437e");
-    sparkIco.textContent = "✦";
+    var sparkIco;
+    var agentTab = document.querySelector('.draco-apptab[data-app="agent"]');
+    var agentIco = agentTab ? agentTab.querySelector(".draco-apptab-ico") : null;
+    if (agentIco) {
+      sparkIco = agentIco.cloneNode(true);
+    } else {
+      sparkIco = document.createElement("span");
+      sparkIco.className = "draco-apptab-ico";
+      sparkIco.setAttribute("style", "--app:#d21f2c");
+      sparkIco.setAttribute("data-icon", "agent");
+      sparkIco.textContent = "✦";
+    }
     sparkItem.appendChild(sparkIco);
     var sparkTxt = document.createElement("span");
     sparkTxt.className = "draco-apps-item-txt";

tests/test_recherche_cors_doublons.py

@@ -0,0 +1,120 @@
+"""Défaut 3b — /api/search Flowdeck depuis la console agent-dev.
+
+Cause prouvée en déployé (flowdeck-dev, 2026-10-28) : sur une réponse
+GET /api/search, le CORSMiddleware global pose déjà
+``Access-Control-Allow-Credentials: true`` (comportement Starlette
+avec ``allow_credentials=True``, même hors allowlist), et l'ancien
+middleware de recherche EMPILAIT ses en-têtes par-dessus — d'où, pour
+l'origine agent-dev, ``Allow-Credentials`` en double (« true, true »
+≠ « true » pour le contrôle CORS du navigateur → fetch rejeté →
+« injoignable (CORS ou réseau) » dans la console, alors que TikTak et
+Kanbante, sans ce cumul, répondent avec des en-têtes uniques) et,
+pour une origine sœur déjà dans la allowlist globale, ``Allow-Origin``
+en double (rejet certain). Le correctif : le middleware de recherche
+REMPLACE les en-têtes CORS existants au lieu de les empiler (même
+patron que app/recherche_cors.py de la console).
+
+Ces tests pilotent le middleware en ASGI pur, avec une application
+interne qui imite le CORSMiddleware global (un en-tête
+Allow-Credentials déjà posé, et, pour une sœur, Allow-Origin aussi).
+``sister_origins`` est figé sur les listes officielles (les fonctions
+pures sont déjà couvertes par tests/test_recherche.py) pour garder le
+test hermétique (aucune résolution draco_urls, aucune base).
+"""
+
+import asyncio
+
+import pytest
+
+from app.middleware import recherche_cors as rc
+
+ORIGINES = rc.PROD_ORIGINS | rc.DEV_ORIGINS | rc.AGENT_ORIGINS
+
+
+def _lancer(middleware, scope):
+    """Exécute le middleware ASGI et retourne les messages envoyés."""
+    recus = []
+
+    async def recevoir():
+        return {"type": "http.request", "body": b"", "more_body": False}
+
+    async def envoyer(message):
+        recus.append(message)
+
+    asyncio.run(middleware(scope, recevoir, envoyer))
+    return recus
+
+
+def _application_interne(entetes):
+    async def appli(scope, recevoir, envoyer):
+        await envoyer({"type": "http.response.start", "status": 401,
+                       "headers": list(entetes)})
+        await envoyer({"type": "http.response.body", "body": b"{}"})
+    return appli
+
+
+def _scope(methode, origine):
+    return {"type": "http", "method": methode, "path": "/api/search",
+            "headers": [(b"origin", origine.encode("latin-1")),
+                        (b"host", b"flowdeck-dev.dracodev.net")]}
+
+
+def _compter(entetes, nom):
+    return sum(1 for k, _v in entetes if k == nom.encode("latin-1"))
+
+
+@pytest.fixture(autouse=True)
+def _origines_figees(monkeypatch):
+    monkeypatch.setattr(rc, "sister_origins", lambda *a, **k: ORIGINES)
+
+
+def test_get_agent_dev_un_seul_jeu_d_entetes():
+    """Cas du défaut : globale (ACAC seul) + recherche → un seul jeu."""
+    interne = _application_interne([
+        (b"content-type", b"application/json"),
+        (b"access-control-allow-credentials", b"true")])
+    recus = _lancer(rc.RechercheCorsMiddleware(interne),
+                    _scope("GET", "https://agent-dev.dracodev.net"))
+    entetes = recus[0]["headers"]
+    assert _compter(entetes, "access-control-allow-credentials") == 1
+    assert _compter(entetes, "access-control-allow-origin") == 1
+    assert _compter(entetes, "vary") == 1
+    assert (b"access-control-allow-origin",
+            b"https://agent-dev.dracodev.net") in entetes
+    assert (b"content-type", b"application/json") in entetes
+    assert recus[0]["status"] == 401  # le statut traverse inchangé
+
+
+def test_get_origine_soeur_pas_d_allow_origin_double():
+    """Sœur déjà dans la allowlist globale : pas de doublon non plus."""
+    interne = _application_interne([
+        (b"access-control-allow-origin", b"https://og-dev.dracodev.net"),
+        (b"access-control-allow-credentials", b"true"),
+        (b"vary", b"Origin")])
+    recus = _lancer(rc.RechercheCorsMiddleware(interne),
+                    _scope("GET", "https://og-dev.dracodev.net"))
+    entetes = recus[0]["headers"]
+    assert _compter(entetes, "access-control-allow-origin") == 1
+    assert _compter(entetes, "access-control-allow-credentials") == 1
+    assert _compter(entetes, "vary") == 1
+
+
+def test_origine_non_autorisee_traverse_sans_modification():
+    """Une origine refusée ne reçoit aucun Allow-Origin ajouté."""
+    interne = _application_interne([
+        (b"access-control-allow-credentials", b"true")])
+    recus = _lancer(rc.RechercheCorsMiddleware(interne),
+                    _scope("GET", "https://example.com"))
+    entetes = recus[0]["headers"]
+    assert _compter(entetes, "access-control-allow-origin") == 0
+    assert entetes == [(b"access-control-allow-credentials", b"true")]
+
+
+def test_preflight_agent_dev_toujours_unique():
+    """Le preflight (court-circuit avant l'interne) reste propre."""
+    recus = _lancer(rc.RechercheCorsMiddleware(_application_interne([])),
+                    _scope("OPTIONS", "https://agent-dev.dracodev.net"))
+    entetes = recus[0]["headers"]
+    assert recus[0]["status"] == 204
+    assert _compter(entetes, "access-control-allow-origin") == 1
+    assert _compter(entetes, "access-control-allow-credentials") == 1