Voici la liste exhaustive de toutes les URLs que l'app peut contacter :

Aucun POST, PUT, PATCH, DELETE, sendBeacon, WebSocket ou EventSource n'est jamais émis par l'app. Si un jour ça change, ce document sera mis à jour et la version bumpée.

1. Journal interne : bouton « 📋 Voir le journal réseau » dans la même section — logue en temps réel toutes les requêtes émises par l'app.
2. DevTools navigateur (F12) : onglet « Network » / « Réseau » → tu vois toutes les requêtes, indépendamment de ce que l'app raconte. Filtre par méthode pour vérifier qu'il n'y a aucun POST/PUT/PATCH/DELETE.
3. Mode hors-ligne strict : coche le toggle dans la même section. Le navigateur refusera activement toute requête non-whitelistée — l'app reste 100% fonctionnelle.
4. Content Security Policy : F12 → Network → première requête (HTML) → onglet Headers → cherche Content-Security-Policy. Le serveur Nginx demande au navigateur de bloquer toute connexion non whitelistée (connect-src 'self' https://www.gstatic.com).

La page complète de transparence (modèle technique, stockage local, position de l'auteur…) est dans docs/NETWORK_AUDIT.md :

📄 Ouvrir la doc complète

(S'ouvre dans un nouvel onglet — c'est un fichier statique servi par le même Nginx que l'app.)