Uvicorn: confiar en X-Forwarded-Proto (fix cookies secure detrás del proxy HF)

src/racing_reports/web/app.py

@@ -303,7 +303,18 @@ def main() -> None:
     import os
 
     port = int(os.getenv("PORT", "7860"))
-    uvicorn.run("racing_reports.web.app:app", host="0.0.0.0", port=port, reload=False)
+    # forwarded_allow_ips="*" hace que uvicorn respete X-Forwarded-Proto del proxy
+    # de HF Spaces (termina TLS antes del container). Sin esto, request.url.scheme
+    # queda como "http" aunque el cliente llegue por HTTPS, y la cookie de auth se
+    # setea sin secure → el browser la descarta en iframe cross-site.
+    uvicorn.run(
+        "racing_reports.web.app:app",
+        host="0.0.0.0",
+        port=port,
+        reload=False,
+        proxy_headers=True,
+        forwarded_allow_ips="*",
+    )
 
 
 if __name__ == "__main__":