diff --git a/docs/api.md b/docs/api.md
index 7b891a1..f763191 100644
--- a/docs/api.md
+++ b/docs/api.md
@@ -477,29 +477,6 @@ Liste les positions détaillées (par instrument) du compte jour par jour.
 
 ---
 
-### `GET /snapshots/pending`
-
-Liste tous les comptes de l'owner ayant une invalidation en attente (i.e. snapshots non à jour suite à une mutation de transaction).
-
-Utile pour savoir quels comptes doivent être recalculés avant de consulter leurs snapshots, ou pour déclencher un `recompute` ciblé.
-
-**Réponse `200`** — liste vide si tout est à jour
-```json
-[
-  { "account_id": 1, "recompute_from": "2026-06-10" },
-  { "account_id": 3, "recompute_from": "2026-05-01" }
-]
-```
-
-| Champ | Description |
-|---|---|
-| `account_id` | Identifiant du compte à recalculer |
-| `recompute_from` | Date la plus ancienne depuis laquelle les snapshots sont invalides |
-
-> Les invalidations sont insérées automatiquement à chaque create / update / delete / validate de transaction. Le job `daily-snapshot` les consomme toutes les 24h ; cet endpoint permet de les inspecter sans attendre.
-
----
-
 ### `POST /accounts/{id}/snapshots/recompute`
 
 Recalcule immédiatement les snapshots d'un compte depuis sa **date d'invalidation** jusqu'à `today + horizon`.
diff --git a/internal/config/config.go b/internal/config/config.go
index f4340b8..b187f27 100644
--- a/internal/config/config.go
+++ b/internal/config/config.go
@@ -14,8 +14,7 @@ type Config struct {
 	CoinGeckoKey         string
 	PriceFetchInterval   time.Duration
 	PriceCleanInterval   time.Duration
-	SnapshotHorizonDays  int
-	CORSAllowedOrigins   string // "*" ou liste comma-séparée d'origines
+	SnapshotHorizonDays  int // nombre de jours dans le futur couverts par les snapshots
 }
 
 func Load() *Config {
@@ -38,7 +37,6 @@ func Load() *Config {
 		PriceFetchInterval:  fetchInterval,
 		PriceCleanInterval:  24 * time.Hour,
 		SnapshotHorizonDays: horizonDays,
-		CORSAllowedOrigins:  getenv("CORS_ALLOWED_ORIGINS", "*"),
 	}
 }
 
diff --git a/internal/server/server.go b/internal/server/server.go
index fa2ae22..805320a 100644
--- a/internal/server/server.go
+++ b/internal/server/server.go
@@ -4,7 +4,6 @@ import (
 	"encoding/json"
 	"log/slog"
 	"net/http"
-	"strings"
 
 	"git.g3e.fr/H6N/account/internal/auth"
 	"git.g3e.fr/H6N/account/internal/config"
@@ -34,49 +33,12 @@ func New(cfg *config.Config, pool *pgxpool.Pool, logger *slog.Logger) *Server {
 }
 
 func (s *Server) ServeHTTP(w http.ResponseWriter, r *http.Request) {
-	s.corsMiddleware(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
-		if r.URL.Path == "/health" {
-			s.mux.ServeHTTP(w, r)
-			return
-		}
-		auth.Middleware(s.mux).ServeHTTP(w, r)
-	})).ServeHTTP(w, r)
-}
-
-func (s *Server) corsMiddleware(next http.Handler) http.Handler {
-	allowedOrigins := strings.Split(s.cfg.CORSAllowedOrigins, ",")
-	wildcard := len(allowedOrigins) == 1 && strings.TrimSpace(allowedOrigins[0]) == "*"
-
-	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
-		origin := r.Header.Get("Origin")
-		if origin != "" {
-			allowed := wildcard
-			if !allowed {
-				for _, o := range allowedOrigins {
-					if strings.TrimSpace(o) == origin {
-						allowed = true
-						break
-					}
-				}
-			}
-			if allowed {
-				if wildcard {
-					w.Header().Set("Access-Control-Allow-Origin", "*")
-				} else {
-					w.Header().Set("Access-Control-Allow-Origin", origin)
-					w.Header().Add("Vary", "Origin")
-				}
-				w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, PATCH, DELETE, OPTIONS")
-				w.Header().Set("Access-Control-Allow-Headers", "Content-Type, X-Owner-ID")
-				w.Header().Set("Access-Control-Max-Age", "86400")
-			}
-		}
-		if r.Method == http.MethodOptions {
-			w.WriteHeader(http.StatusNoContent)
-			return
-		}
-		next.ServeHTTP(w, r)
-	})
+	// /health est exempt d'auth. Toutes les autres routes passent par le middleware owner.
+	if r.URL.Path == "/health" {
+		s.mux.ServeHTTP(w, r)
+		return
+	}
+	auth.Middleware(s.mux).ServeHTTP(w, r)
 }
 
 func (s *Server) routes() {