"""Recherche fédérée « Rechercher partout » (fusion #111) — garde-fous
côté Flowdeck : l'API /api/search et les origines sœurs sont couvertes
par les suites Node et les tests CORS ; ici, la CSP des pages, qui
conditionne les appels cross-origin de la page /recherche."""


def test_csp_connect_src_contient_shaarit(client):
    """La CSP des pages doit autoriser l'origine de ShaarIt en
    connect-src, sinon le navigateur bloque l'appel de la page
    /recherche avant même le CORS et la section ShaarIt affiche
    « Injoignable depuis cet hôte » (retour d'usage du 2026-11-04 :
    la liste des sœurs du connect-src, écrite pour les Alertes
    #69, n'avait pas été étendue à ShaarIt)."""
    r = client.get("/")
    csp = r.headers.get("content-security-policy", "")
    assert "connect-src" in csp
    assert "https://shaarit.dracodev.net" in csp, csp