# ClientFlow v4928.1.5.47 — Playwright CORS/Auth fix

## Problema

O runner Playwright usava `extra_http_headers` para enviar `X-ClientFlow-Admin-Token`.
Esse header era enviado também para assets externos, como Bootstrap Icons em `cdn.jsdelivr.net`.
O browser fazia preflight CORS e o CDN bloqueava o pedido das fontes.

## Correção

O runner passou a adicionar `X-ClientFlow-Admin-Token` apenas a pedidos same-origin do ClientFlow.
Pedidos externos para CDN deixam de receber o header administrativo.

## Nota produção

Se `https://clientflow.blif.pt` ainda bloquear Bootstrap/HTMX por CSP, a instância pública ainda não tem a CSP da v1.5.46+ ou o Nginx está a sobrescrever o header.
A CSP esperada deve permitir explicitamente `https://cdn.jsdelivr.net` e `https://unpkg.com`, ou os assets devem ser servidos localmente.
