Voici la liste exhaustive de toutes les URLs que l'app peut contacter :

Aucun POST, PUT, PATCH, DELETE, sendBeacon, WebSocket ou EventSource n'est jamais émis par l'app. Si un jour ça change, ce document sera mis à jour et la version bumpée.

1. Journal interne : bouton « 📋 Voir le journal réseau » dans la même section — logue en temps réel toutes les requêtes émises par l'app.
2. DevTools navigateur (F12) : onglet « Network » / « Réseau » → tu vois toutes les requêtes, indépendamment de ce que l'app raconte. Filtre par méthode pour vérifier qu'il n'y a aucun POST/PUT/PATCH/DELETE.
3. Un seul site extérieur : le fond de carte OpenStreetMap de la Vue OSM (tile.openstreetmap.org). Décoche la case « 🗺️ Vue OSM » dans la même section (ou passe en mode incognito) : l'app ne contacte plus que son propre serveur — le journal et F12 te le montrent.
4. Content Security Policy : F12 → Network → première requête (HTML) → onglet Headers → cherche Content-Security-Policy. Le serveur Nginx demande au navigateur de bloquer toute connexion non whitelistée : seuls le site lui-même et le fond de carte OpenStreetMap sont autorisés.

La page complète de transparence (modèle technique, stockage local, position de l'auteur…) est dans docs/NETWORK_AUDIT.md :

📄 Ouvrir la doc complète

(S'ouvre dans un nouvel onglet — c'est un fichier statique servi par le même Nginx que l'app.)