Changements côté API.
View All TagsLa page backoffice "Demandes de prêt" chargeait systématiquement l'intégralité des dossiers du périmètre de l'utilisateur en un seul appel, puis regroupait et filtrait tout côté client en mémoire. Elle affiche désormais uniquement des compteurs au chargement, et ne va chercher une liste réelle qu'au clic sur un type de prêt puis, si nécessaire, une agence.
Une passe d'audit ciblée a mis au jour plusieurs endpoints backend accessibles sans authentification ou sans vérification du périmètre agence/zone de l'utilisateur — tous corrigés. Le cas le plus instructif : un correctif déjà appliqué au filtrage par zone s'est révélé totalement inopérant, découvert seulement en testant avec un vrai compte connecté plutôt qu'en relisant le code.
Sur la fiche détail d'une demande de prêt, un gestionnaire qui change le statut d'un dossier voit désormais l'email exact qui sera envoyé au client avant de valider sa décision, au lieu d'un envoi immédiat et silencieux.