Update MCP server

docker-compose.yml

@@ -49,12 +49,13 @@ services:
       - internal
       - backend    # réseau Traefik
 
-  # Serveur MCP distant (Phase 5) — accessible publiquement sur un
-  # sous-domaine dédié, SANS le middleware ipwhitelist-all : contrairement au
-  # reste de l'app, ce service est volontairement ouvert à des utilisateurs
-  # distants qui ne peuvent pas déployer le serveur MCP local. La clé API
-  # (en-tête X-API-Key, propre à chaque utilisateur) est donc la SEULE
-  # barrière d'accès — voir mcp-server/http-server.js.
+  # Serveur MCP (Phase 5) — même image/code que le serveur utilisé en
+  # développement local (mcp-server/server.js, npm run dev), déployé ici
+  # accessible publiquement sur un sous-domaine dédié, SANS le middleware
+  # ipwhitelist-all : contrairement au reste de l'app, ce service est
+  # volontairement ouvert à des utilisateurs distants qui ne peuvent pas
+  # faire tourner le serveur en local. La clé API (en-tête X-API-Key, propre
+  # à chaque utilisateur) est donc la SEULE barrière d'accès.
   crowdlending-mcp:
     build:
       context: ./mcp-server
@@ -66,6 +67,10 @@ services:
       PORT: 4100
       CROWDLENDING_API_URL: http://crowdlending-backend:4000/api/v1
       MCP_ALLOWED_HOSTS: mcp.crowdlending.croguennec.net,localhost
+      # Explicitement désactivé : ce serveur sert des utilisateurs distants
+      # non maîtrisés, l'outil de lecture d'URL arbitraire (SSRF) reste
+      # réservé au développement local. Ne pas passer à true ici.
+      MCP_ENABLE_FETCH_URL: "false"
     depends_on:
       crowdlending-backend:
         condition: service_healthy