diff --git a/src/backend/src/index.js b/src/backend/src/index.js
index 2c30bef..c666ee7 100644
--- a/src/backend/src/index.js
+++ b/src/backend/src/index.js
@@ -29,6 +29,12 @@ app.use(helmet({
   contentSecurityPolicy: false,
   crossOriginEmbedderPolicy: false,
 }));
+// Les portails sont servis depuis un sous-domaine distinct. Seules les routes
+// publiques peuvent être lues depuis cette origine ; l’API authentifiée reste inchangée.
+app.use('/api/public', (req, res, next) => {
+  res.setHeader('Cross-Origin-Resource-Policy', 'cross-origin');
+  next();
+});
 app.use(cors({
   origin: true,
   credentials: true,