Correctif du retour d'usage du 2026-11-04 (fusion #111) : depuis Flowdeck, la section ShaarIt de « Rechercher partout » affichait « Injoignable depuis cet hôte (CORS ou réseau) ».
Cause racine : la CSP des pages Flowdeck — la liste des origines sœurs en connect-src (app/middleware/security.py), écrite pour le panneau Alertes (#69 : ObsiGate, Flowdeck, TikTak, Kanbante), n'avait pas été étendue à ShaarIt lors du branchement de la recherche fédérée. Le navigateur bloquait donc l'appel de la page /recherche vers l'API ShaarIt avant même le CORS (le CORS de ShaarIt, lui, répond correctement aux origines sœurs, preflight compris — vérifié en HTTP). L'en-tête CSP réellement servi par flowdeck-dev confirmait l'absence de shaarit-dev.
Correctif : shaarit ajouté à la liste des sœurs du connect-src (même résolution draco_urls que les autres) ; test de garde test_csp_connect_src_contient_shaarit. Suites ciblées : 31 vertes.
Correctif du retour d'usage du 2026-11-04 (fusion #111) : depuis Flowdeck, la section ShaarIt de « Rechercher partout » affichait « Injoignable depuis cet hôte (CORS ou réseau) ».
**Cause racine** : la CSP des pages Flowdeck — la liste des origines sœurs en `connect-src` (`app/middleware/security.py`), écrite pour le panneau Alertes (#69 : ObsiGate, Flowdeck, TikTak, Kanbante), n'avait pas été étendue à ShaarIt lors du branchement de la recherche fédérée. Le navigateur bloquait donc l'appel de la page `/recherche` vers l'API ShaarIt **avant même le CORS** (le CORS de ShaarIt, lui, répond correctement aux origines sœurs, preflight compris — vérifié en HTTP). L'en-tête CSP réellement servi par flowdeck-dev confirmait l'absence de `shaarit-dev`.
**Correctif** : `shaarit` ajouté à la liste des sœurs du connect-src (même résolution `draco_urls` que les autres) ; test de garde `test_csp_connect_src_contient_shaarit`. Suites ciblées : 31 vertes.
La liste des sœurs du connect-src (Fusion #69, panneau Alertes)
n'avait pas été étendue à ShaarIt lors du branchement de la
recherche fédérée (#111) : le navigateur bloquait l'appel de la
page /recherche vers l'API ShaarIt avant même le CORS, et la
section affichait « Injoignable depuis cet hôte (CORS ou réseau) »
alors que le CORS de ShaarIt était correct. Test CSP ajouté.
bruno
merged commit 0464f6156e into main2026-11-04 13:43:43 -05:00
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Correctif du retour d'usage du 2026-11-04 (fusion #111) : depuis Flowdeck, la section ShaarIt de « Rechercher partout » affichait « Injoignable depuis cet hôte (CORS ou réseau) ».
Cause racine : la CSP des pages Flowdeck — la liste des origines sœurs en
connect-src(app/middleware/security.py), écrite pour le panneau Alertes (#69 : ObsiGate, Flowdeck, TikTak, Kanbante), n'avait pas été étendue à ShaarIt lors du branchement de la recherche fédérée. Le navigateur bloquait donc l'appel de la page/recherchevers l'API ShaarIt avant même le CORS (le CORS de ShaarIt, lui, répond correctement aux origines sœurs, preflight compris — vérifié en HTTP). L'en-tête CSP réellement servi par flowdeck-dev confirmait l'absence deshaarit-dev.Correctif :
shaaritajouté à la liste des sœurs du connect-src (même résolutiondraco_urlsque les autres) ; test de gardetest_csp_connect_src_contient_shaarit. Suites ciblées : 31 vertes.