Index: src/server.js
===================================================================
--- src/server.js	(revision 62b899d95ceecddb71c476a3a1f292529c006d92)
+++ src/server.js	(revision fb02cc0d85ca7497ae12dbbd7a0599190932ae72)
@@ -156,5 +156,11 @@
 
 app.use('/assets', express.static(path.join(__dirname, 'assets'), { maxAge: isDev ? 0 : '1y' }));
-app.use('/media', express.static(process.env.MEDIA_PATH || './storage/media'));
+app.use('/media', express.static(process.env.MEDIA_PATH || './storage/media', {
+  // Publieke media (post-covers, avatars) moet door andere Klonkt-sites in hun
+  // CIRKEL cross-origin embedbaar zijn. Helmet zet standaard CORP=same-origin,
+  // wat die afbeeldingen in de browser blokkeert (bestand komt wél binnen, maar
+  // de browser weigert 'm te tonen). Voor /media dus expliciet cross-origin.
+  setHeaders: (res) => res.setHeader('Cross-Origin-Resource-Policy', 'cross-origin'),
+}));
 
 // (Verwijderd) TWA / digital-asset-links — alleen nodig voor de APK/TWA-variant.