bruno 0861f1fdbf fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5) ...

- Scan de tous les appels `fetch` non-GET du front par préfixe : 12 préfixes
  n'ont AUCUN call site sans `X-CSRF-Token` → sortis de `EXCLUDED_PATHS`
  (`/db/`, `/workspace`, `/workspace/automations`, `/board/api/favorites`,
  `/api/pages`, `/api/recents`, `/api/notifications`, `/api/comments`,
  `/api/automations`, `/api/github`, `/api/admin`, `/api/onboarding`)
- `welcome.html` : les 2 POST `/api/onboarding/*` reçoivent le header
  (`adminFetch` prouve que `/api/admin` était déjà couvert)
- reste A19 (front à équiper) : `/api/workspace` (+`/api/workspaces`),
  `/api/local-workspace`, `/api/settings`, `/api/gitea`, `/api/agent` — 49 fetch
- tests : helper `anon_csrf()` (anonyme + CSRF valide) pour isoler les 401 de
  route du 403 middleware — 4 tests d'anonymat ajustés
- suite **1026/1026** · `ruff check app tests` OK

2026-09-30 23:38:03 -04:00

..

conftest.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_agent.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_ai_writing.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_app.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_audit_p0_fixes.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_automations.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_block_interactions.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_db_advanced.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_llm_config.py

v5.2.0: Infrastructure & Polish

2026-09-10 23:47:35 -04:00

test_public_api_v2.py

feat: v6.3.0 API publique complete v2 (REST /api/v2, scopes, OpenAPI)

2026-09-20 13:19:29 -04:00

test_pwa_offline.py

feat: v6.3.0 API publique complete v2 (REST /api/v2, scopes, OpenAPI)

2026-09-20 13:19:29 -04:00

test_realtime_v64.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_realtime.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_search_migrations.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_service_worker.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_share_groups.py

feat(share,permissions): partage de page par groupes (page_shares)

2026-09-21 06:38:02 -04:00

test_sharing.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_sync_migrations.py

feat: v6.0.0 PWA offline support

2026-09-18 13:05:40 -04:00

test_sync.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v52_infra.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v54.py

fix(tests): A1 — fin du rebinding app.config.settings dans test_v54 (isolation rétablie, 1016/1016 verts)

2026-09-30 20:19:09 -04:00

test_v55.py

fix: A12–A24 — SSRF, auth routes legacy, uploads, N+1 et routes doublonnes (v7.3.3)

2026-09-30 23:12:20 -04:00

test_v56_import.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v57_db_advanced.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v58_calendar_reminders.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v60_granular_permissions.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v65_synced_db.py

feat: v6.5.0 Synced blocks production — pages contenu par lignes de DB, résolution serveur à chaque lecture, propagation écrite réelle

2026-09-24 08:28:25 -04:00

test_v66_agent_api.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v67_sso.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v68_sites_forms.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v69_search_ask.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v70_automations_workers.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_v71_calendar_meetings.py

fix: A19 (partiel) — CSRF réservé aux vrais cas d'exemption (v7.3.5)

2026-09-30 23:38:03 -04:00

test_v72_enterprise.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v73_wiki_polish.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v511_v512_wiki_templates.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_v514_synced_blocks.py

fix: corriger erreurs Ruff lint I001 et W292

2026-09-17 20:38:37 -04:00

test_web_clipper.py

fix: A3–A8 — bloc « fallback admin » de l'audit sécurité (401 sans session, ACL, CSRF)

2026-09-30 22:04:13 -04:00

test_webhooks_v2.py

feat: v6.5.1 — 7 tests webhooks_v2 dé-skipés (0 skip, 749 verts) + roadmap rattrapée (sync.py Bearer coché)

2026-09-24 09:10:08 -04:00