- ensureCanAccessMail : refuse ROLE_CLIENT pur (sans ROLE_ADMIN) - ensureIsAdmin : helper pour endpoints config - service utilise par tous les controllers metier mail Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>