@mostajs/kind-catalog 0.1.0

package/CHANGELOG.md

@@ -0,0 +1,136 @@
+# @mostajs/kind-catalog — Journal des versions
+
+**Auteur** : Dr Hamid MADANI <drmdh@msn.com>
+
+## Non publié — 2026-09-02 (soir) · le corpus double par EXPLORATION du parc
+
+Sept applications du parc ont été relues — CRM/TRADING, LabTrax, CollabTrax, LabTraxAdmin, SofTrax,
+analytics, qatrax — en croisant leurs **plans DEVTEST** sur les motifs du catalogue.
+
+### Le corpus
+
+| | avant | après |
+|---|---|---|
+| fiches | 12 | **19** |
+| éprouvées | 6 (50 %) | **13 (68 %)** |
+| erreurs cataloguées | 39 | **76** |
+| domaines | 10 | **11** (`integration`) |
+
+### Sept fiches nouvelles, toutes issues d'incidents
+
+`KIND-ECRITURE-GARDEE-01` · `KIND-SORTIE-GENEREE-01` · `KIND-ECHEC-FOURNISSEUR-01` (CRM/TRADING) —
+`KIND-SUPPRESSION-DATEE-01` · `KIND-CHIFFRE-SANS-SOURCE-01` · `KIND-REFUS-LISIBLE-01` ·
+`KIND-DEPENDANCE-DISTANTE-01` (LabTrax, CollabTrax, SofTrax, qatrax).
+
+**Chacune est portée par deux à trois projets indépendants.** Aucune fiche n'a été créée sur un
+motif vu une seule fois : celles-là attendent un second projet.
+
+### Ce que l'exploration a démontré, et qui vaut plus que le compte
+
+**`KIND-PERIMETRE-01` atteint TROIS projets indépendants** — ATC, CRM/TRADING, LabTrax — qui ont
+tous écrit la même règle sans se consulter. `T-CORP-5` porte la barre à trois, **parce que le fait
+existe** : elle ne monte jamais par anticipation.
+
+**CollabTrax avait déjà inventé le quatrième état** que le plan d'`assistant-pilote` présentait
+comme une évolution à faire : *« trois états et trois seulement — non branché / branché sans
+données / branché réel »*. Le même besoin, résolu deux fois, sans que les deux se parlent. C'est
+exactement ce que le catalogue existe pour empêcher, et sa première démonstration.
+
+**La « pierre tombale » était écrite trois fois** — LabTrax, qatrax, `assistant-pilote`.
+
+### Une TENSION portée par une fiche, plutôt que tranchée
+
+`KIND-REFUS-LISIBLE-01` tient deux exigences contraires, toutes deux vraies :
+
+- LabTrax : *« DIRE LA VRAIE RAISON D'UN REFUS, et offrir une issue »* ;
+- ATC : le refus ne doit **ni nommer** l'élève **ni citer** son identifiant — le confirmer
+  renseigne déjà.
+
+La fiche ne tranche pas : elle énonce la règle **et** son exception, avec la conséquence de chaque
+côté. Une fiche qui aurait choisi sans le dire aurait été pire qu'aucune fiche.
+
+### Deux fiches de plus — et une erreur de comptage corrigée
+
+`KIND-FORMULAIRE-ROUTE-01` et `KIND-CONSIGNER-APRES-SUCCES-01` avaient d'abord été écartées comme
+« un seul projet ». **C'était faux, et la vérification l'a montré** : les deux en portent deux.
+
+- *le formulaire rendu doit être accepté par sa route* → **LabTrax** (exigence) **+ ATC**
+  (l'écran de notation appelait `noter()` avec la seule séance ; le certificat répondait « aucun
+  niveau atteint » douze écrans plus loin) ;
+- *ne dater, numéroter et annoncer qu'après le succès* → **LabTrax** (exigence) **+ ATC**, deux
+  fois : le numéro de certificat non attendu qui valait `{}`, puis un certificat annoncé
+  (`CERT-2026-0001`) qui n'avait jamais été persisté.
+
+**La règle n'a pas été assouplie : le comptage était mauvais.** C'est précisément l'écart entre
+« je crois que c'est isolé » et « je l'ai vérifié » que le champ `origine` sert à fermer.
+
+### Ce qui reste ÉCARTÉ
+
+« Avertir avant de dépouiller », « n'afficher que ce que l'on peut faire », « aucune permission
+orpheline » — un seul projet chacun, vérifié cette fois. Ils attendent. Convertir tous les motifs
+aurait dilué le corpus : c'est la leçon d'OWASP, inscrite au plan (#3, risques).
+
+### Le corpus, au terme de l'exploration
+
+**21 fiches · 15 éprouvées (71 %) · 84 erreurs cataloguées · 35 incidents · 11 domaines.**
+
+## 0.1.0 — 2026-09-02
+
+Premier jet. Livrables DEVRULES §9 produits **avant** le code : étape inaugurale (§⓪, 5 questions),
+#1 état de l'art, #2 audit de l'existant (cas C), #3 plan de développement, #3.bis image de
+l'OBJECTIF, #4 plan de test.
+
+### La fiche
+
+`enonce`, `besoins`, `utilisation`, `succes`, `erreurs`, `test`, `verdict`, `origine`.
+**Seuls `enonce`, `succes`, `erreurs` et `origine` sont requis** — ce sont ceux qu'on omet, et ceux
+qui servent. Chaque erreur porte sa **conséquence** : « ne pas oublier le périmètre » ne se retient
+pas ; « sans lui, tout parent lit le dossier de tous » se retient.
+
+### La provenance — la règle qui remplit le catalogue au lieu de le vider
+
+Une première formulation disait « aucune fiche avant un cas réel ». Elle aurait produit un
+catalogue vide dans tous les métiers où le savoir existe pourtant depuis des décennies.
+
+La règle réelle est ailleurs : **toute fiche déclare d'où elle vient**, et c'est le **verdict** qui
+dit ce qu'elle a traversé. Une `reference` — norme, guide de bonnes pratiques, problème classique —
+suffit à entrer au catalogue en `propose`. Se dire `eprouve` exige un `incident` ou un `terrain`.
+**La contrainte porte sur le galon, jamais sur l'entrée.**
+
+### La projection — aucun format nouveau
+
+`toDevtest()` produit du `mostajs-devtest/1`, et l'essai le soumet au **parseur officiel** de
+`@mostajs/qa-engine`. C'est le seul juge qui compte : une vérification maison prouverait seulement
+que nous sommes d'accord avec nous-mêmes.
+
+L'exigence projetée **porte les erreurs connues** : qui la lit dans qatrax reçoit aussi ce qui a
+mal tourné ailleurs. C'est là que le catalogue devient utile — CWE est branché aux scanners et
+s'applique ; le catalogue de patrons d'exigences de Withall n'est branché à rien et est resté un
+livre.
+
+### L'affinage tracé
+
+`instantiate()` **refuse** un affinage sans motif. Sans lui, « réutiliser » se dégrade en
+« recopier », et l'on revient à des plans qui se ressemblent sans jamais se parler. `emplois()`
+donne l'index inverse : qui emploie quoi, et ce que chacun a dû changer.
+
+### Le corpus initial — 12 fiches, 39 erreurs cataloguées, 10 domaines
+
+**6 éprouvées** (50 %), toutes tirées de défauts **constatés** cette semaine avec leur date et leur
+fichier : périmètre pris pour capacité, écriture hors schéma, mise à jour partielle par `undefined`,
+acquis effacé par consultation, écriture hors application sur stockage à image mémoire, calcul sur
+données insuffisantes.
+
+**6 proposées**, tirées de corpus établis : formulation au moindre coût (problème du régime,
+Stigler 1945), transhumance apicole, ordonnancement de chantier sous ressources, traçabilité de lot
+(HACCP), rotation culturale, diagnostic séquentiel de panne.
+
+Deux enseignements que les domaines métier ont imposés, et qu'aucun domaine transverse n'aurait
+donnés :
+
+- **le seuil de données insuffisantes s'exprime en CYCLES, jamais en jours** — deux saisons font
+  deux semaines en restauration, deux ans en grande culture, et quelques jours par an en apiculture ;
+- **BTP et électronique posent leurs questions là où le module ne tourne pas** (chantier, embarqué),
+  d'où le champ `seProsePose`.
+
+Suite : **21 essais verts**, plan DEVTEST valide, trois trous qatrax à zéro.

package/README.md

@@ -0,0 +1,103 @@
+# @mostajs/kind-catalog
+
+**Auteur** : Dr Hamid MADANI <drmdh@msn.com> · AGPL-3.0-or-later · couche **N1**
+
+Un **catalogue de fiches d'exigence réutilisables**, qui se **projette** dans le plan de test du
+projet. Chaque fiche porte la question d'un métier, ses critères de succès, **ses erreurs connues
+avec leur conséquence**, et ses épreuves.
+
+**Le module n'exécute rien et ne stocke rien.** Il décrit, valide et projette.
+
+```bash
+npm i @mostajs/kind-catalog
+```
+
+## Pourquoi
+
+Un défaut coûte deux fois : la première pour le trouver, la seconde pour le **retrouver** dans le
+projet suivant. La sécurité applicative a réglé cela il y a vingt ans avec CWE — un catalogue
+d'erreurs connues, chacune portant **sa conséquence**, nourri par des faits, et **branché aux
+outils**. L'ingénierie des exigences n'avait pas son équivalent : le meilleur catalogue de patrons
+d'exigences existant n'est branché à rien, et il est resté un livre.
+
+> **Une fiche qui ne descend pas dans le plan de test du projet ne sera pas appliquée**, quelle que
+> soit sa qualité.
+
+## En trente lignes
+
+```js
+import { defineKind, loadCatalogue, toDevtest, instantiate, statsCatalogue } from '@mostajs/kind-catalog';
+
+// 1 · écrire une fiche
+export default defineKind({
+  ref: 'KIND-PERIMETRE-01',
+  domaine: 'acces',
+  enonce: 'Une permission ouvre une CAPACITÉ, jamais un PÉRIMÈTRE.',
+  succes: ['le porteur agit sur les instances qui lui reviennent'],          // REQUIS
+  erreurs: [{                                                                // REQUIS
+    titre: 'la capacité est prise pour le périmètre',
+    consequence: 'un parent lit le dossier d’un autre enfant — mêmes droits, rien d’anormal à l’écran',
+  }],
+  test: [{ action: 'agir sur l’instance d’un autre', attendu: 'refus, sans nommer l’instance' }],
+  verdict: 'eprouve',
+  origine: [{ type: 'incident', source: 'ATC — presence.mjs, portail.mjs', date: '2026-09-01' }],  // REQUIS
+});
+
+// 2 · la projeter vers l'outil de suivi — AUCUN format nouveau
+const kinds = await loadCatalogue('./node_modules/@mostajs/kind-catalog/kinds');
+const plan  = toDevtest(kinds, { project: { key: 'atc', name: 'ATC' }, prefix: 'ATC' });
+// → { plan: 'mostajs-devtest/1', specs[], realisations[], tests[] }   lu par @mostajs/qa-engine
+
+// 3 · la reprendre, telle quelle ou AFFINÉE — l'écart est tracé
+instantiate(kinds[0], { app: 'ATC', affine: {
+  succes: { valeur: [...], motif: 'le centre est soumis à un contrôle annuel' },   // MOTIF REQUIS
+}});
+```
+
+## Ce qu'il garantit
+
+| | |
+|---|---|
+| **`succes` et `erreurs` sont requis** | ce sont les champs qu'on omet, et ceux qui servent |
+| **chaque erreur porte sa conséquence** | « ne pas oublier X » ne se retient pas ; « sans X, tout parent lit le dossier de tous » se retient |
+| **on ne se décerne pas l'expérience** | `eprouve` exige une origine `incident` ou `terrain`. Une `reference` suffit pour entrer en `propose` — la contrainte porte sur le galon, jamais sur l'entrée |
+| **un affinage sans motif est refusé** | sans lui, « réutiliser » se dégrade en « recopier » |
+| **une fiche écartée reste** | avec son motif : celle qui disparaît sera réinventée |
+| **aucun format nouveau** | la projection est validée par le parseur **officiel** de `@mostajs/qa-engine` |
+| **il n'écrit rien** | vérifié contre un dépôt piégé (`T-KC-12`) |
+
+## Le corpus livré
+
+**21 fiches · 15 éprouvées (71 %) · 84 erreurs cataloguées · 35 incidents · 11 domaines.**
+
+Transverses — `acces` · `donnees` · `apprentissage` · `decision` · `integration` — toutes issues de
+défauts **constatés en production**, avec leur date et leur fichier.
+
+Métier — `btp` · `alimentaire` · `elevage` · `apiculture` · `agronomie` · `electronique` — adossées
+aux corpus établis de chaque profession (HACCP, itinéraires techniques, problème du régime de
+Stigler 1945, CPM/PERT), en `propose`.
+
+> Nous affichons les deux colonnes. Un catalogue qui annoncerait 100 % d'éprouvé mentirait ; celui
+> qui annoncerait 0 % ne vaudrait rien.
+
+## Où il s'arrête
+
+| besoin | module |
+|---|---|
+| résoudre | [`@mostajs/ro-pla`](https://npmjs.com/package/@mostajs/ro-pla) — 23 dialectes, 12 familles |
+| valider le plan projeté | [`@mostajs/qa-engine`](https://npmjs.com/package/@mostajs/qa-engine) |
+| mémoriser l'efficacité et le retour d'usage | [`@mostajs/skill-library`](https://npmjs.com/package/@mostajs/skill-library) |
+| activer une question sous condition de données | [`@mostajs/assistant-pilote`](https://npmjs.com/package/@mostajs/assistant-pilote) |
+| **persister les fiches** | **personne** — ce sont des fichiers versionnés |
+
+**Pourquoi pas une base ?** Une fiche est un document éditorial : elle se lit, se discute, se relit
+six mois plus tard. Son historique est celui d'un fichier. Ce qui va en base, c'est ce que produit
+son **usage** — et la fiche se relit quand le journal, lui, s'entasse.
+
+## Documentation
+
+`docs/` porte les 17 livrables DEVRULES : état de l'art, audit, plan de développement, plan de test,
+revue de sécurité, DPIA, matrice de sourcing, documents et présentations.
+
+⚠️ **Charger un corpus, c'est exécuter du code** : une fiche est un module JavaScript. Une fiche se
+revoit **comme du code**, jamais comme un document — voir `docs/15-REVUE-SECURITE-KIND-CATALOG.md`.

package/docs/00-ETAPE-INAUGURALE-KIND-CATALOG.md

@@ -0,0 +1,105 @@
+# `@mostajs/kind-catalog` — Étape inaugurale (DEVRULES §⓪)
+
+**Auteur** : Dr Hamid MADANI <drmdh@msn.com> · **Date** : 2026-09-02
+
+> *Tant que ces 5 questions n'ont pas de réponse écrite, la spécification n'est pas réputée lue et
+> aucun code métier ne démarre.* — DEVRULES §⓪.A
+
+---
+
+## ⓪.A · Les 5 questions
+
+### 1 · Quel est le problème métier exact ?
+
+**Les exigences se réécrivent à chaque projet, et les erreurs se réapprennent à chaque projet.**
+
+Constat mesuré dans cette seule session (01-02/09/2026), sur ATC et RestoTrax :
+
+| défaut trouvé | où il vivait | est-il propre à l'application ? |
+|---|---|---|
+| une permission ouvrait une capacité, jamais un périmètre | ATC (3 écrans), RestoTrax | **non** — tout logiciel à rôles |
+| une note enregistrée sans son niveau, découverte 12 écrans plus loin | ATC | **non** — toute chaîne écran → service |
+| relire un acquis l'effaçait | `@mostajs/elearning` | **non** — toute progression |
+| une écriture hors application, écrasée sans erreur (sqljs) | ATC | **non** — tout stockage à image mémoire |
+| corriger un champ en écrasait un autre par `undefined` | `@mostajs/coaching` | **non** — toute mise à jour partielle |
+
+Chacun a coûté une recette. Aucun n'était nouveau. **Rien ne les attendait dans le projet suivant.**
+
+Le besoin est donc : **un catalogue de fiches d'exigence réutilisables**, portant la question, ce
+qu'il faut pour y répondre, comment on l'éprouve, à quoi on reconnaît une bonne réponse, et
+**surtout les façons connues de se tromper** — réutilisables ou affinables par toute application,
+passée comme future, et **lisibles par qatrax**.
+
+### 2 · Quelles sont les meilleures solutions mondiales ?
+
+Développé au livrable **#1** (`ETUDE-ETAT-ART-KIND-CATALOG-02092026.md`). En résumé : le domaine
+existe et il est mûr — patrons d'exigences (Withall), syntaxe contrainte (EARS), norme de
+spécification (ISO/IEC/IEEE 29148), catalogues d'erreurs connues (CWE, OWASP, ATT&CK), décisions
+d'architecture (ADR), raisonnement à partir de cas (Aamodt & Plaza), sélection d'algorithme (Rice).
+**Ce qui n'existe nulle part, c'est leur JOINTURE** : un catalogue qui porte à la fois l'exigence,
+son épreuve et son mode de défaillance, et qui se PROJETTE dans l'outil de suivi.
+
+### 3 · Quels autres métiers utilisent déjà cette logique ?
+
+- **Sécurité** : CWE/CAPEC/ATT&CK — des catalogues de **façons de se tromper**, avec conséquence,
+  réutilisés par tous les projets du monde. C'est le modèle le plus proche du champ `erreurs`.
+- **Aéronautique et médical** : ARP4761, ISO 14971 — l'analyse de risque est **cataloguée**, pas
+  refaite ; on part d'une liste de modes de défaillance connus.
+- **Recherche opérationnelle** : OR-Library, MIPLIB — des **jeux d'épreuve** catalogués auxquels
+  on confronte tout nouveau solveur.
+- **Agronomie** : les itinéraires techniques sont des fiches réutilisées d'une parcelle à l'autre,
+  affinées localement — **exactement** le geste « réutiliser ou affiner » demandé.
+- **Électronique** : les *application notes* et les *design rules* d'un fondeur sont un catalogue
+  de contraintes réutilisables, avec leurs pièges nommés.
+
+### 4 · Quels modules MostaJS couvrent déjà le besoin ?
+
+Développé au livrable **#2**. Aucun ne le couvre ; deux le bordent :
+
+| module | ce qu'il porte | frontière |
+|---|---|---|
+| `@mostajs/qa-engine` | le format `mostajs-devtest/1`, sa validation, son import | **plan d'une application**, pas catalogue partagé |
+| `@mostajs/skill-library` | recettes de résolution, indice d'efficacité, retour humain | *comment bien résoudre*, pas *si la question mérite d'être posée* |
+| `@mostajs/ro-pla` | 23 dialectes, 12 `kind` **techniques** | type de problème mathématique, pas exigence métier |
+
+### 5 · Quels sont les véritables écarts à développer ?
+
+1. La **fiche** elle-même : `enonce`, `besoins`, `utilisation`, `test`, `succes`, `erreurs`,
+   `efficacite`, `evaluation`, `verdict`.
+2. La **projection** vers `mostajs-devtest/1` — pour que qatrax lise sans rien apprendre.
+3. L'**instanciation tracée** — réutiliser ou affiner, en sachant qui a affiné quoi.
+
+Tout le reste est **composé** : la conformité du plan projeté vient de `qa-engine`, l'efficacité et
+le retour d'usage viennent de `skill-library`, les moteurs viennent de `ro-pla`.
+
+---
+
+## ⓪.1 · Décomposition en besoins précis
+
+| # | Besoin précis | Cas | Couverture |
+|---|---|---|---|
+| B1 | Décrire une exigence réutilisable, indépendante d'une application | **C** | à créer |
+| B2 | Refuser une fiche inutilisable (sans critère de succès, sans erreur connue) | **C** | à créer |
+| B3 | Projeter une fiche en exigences + essais lisibles par qatrax | **A** | `@mostajs/qa-engine` (`./devtest`) — on produit sa forme, il la valide |
+| B4 | Instancier une fiche dans une application, en traçant l'affinage | **C** | à créer |
+| B5 | Savoir quelles applications emploient une fiche | **C** | à créer (dérivé de B4) |
+| B6 | Mémoriser l'efficacité d'une résolution et le retour d'usage | **A** | `@mostajs/skill-library` |
+| B7 | Choisir le moteur qui répond à une question | **A** | `@mostajs/ro-pla` (`pickBest`) |
+| B8 | Activer une question sous condition de données | **A** | `@mostajs/assistant-pilote` |
+| B9 | Persister les fiches | — | **hors périmètre** : ce sont des fichiers versionnés (cf. #3) |
+
+## ⓪.2 · Modules existants réutilisables (cas A/B)
+
+`qa-engine` (B3) · `skill-library` (B6) · `ro-pla` (B7) · `assistant-pilote` (B8). **Aucun n'est
+étendu** : tous sont composés en l'état.
+
+## ⓪.3 · Modules à créer (cas C)
+
+**Un seul** : `@mostajs/kind-catalog` — B1, B2, B4, B5.
+
+**Emplacement** : `mostajs/mosta-optimization-stack/`, aux côtés de `ro-pla`
+*(décision du 02/09/2026 : « sa place est avec les ro-pla »)*.
+
+**Couche** : **N1** — générique transverse. Il ne dépend que de `qa-engine` (N1) pour la conformité
+de ce qu'il projette. Aucun domaine, aucune UI, aucun stockage : la règle de dépendance
+descendante (§5.bis) est respectée.

package/docs/03bis-PROMPT-IMAGE-OBJECTIF-KIND-CATALOG.md

@@ -0,0 +1,99 @@
+# Prompt d'image — l'OBJECTIF de `@mostajs/kind-catalog`
+
+**Livrable #3.bis** (DEVRULES §9) · **Auteur** : Dr Hamid MADANI <drmdh@msn.com> · **Date** : 2026-09-02
+
+> Le **#3.bis** illustre la **cible planifiée**, et se valide **avant d'écrire le code**. Le **#14**
+> illustrera le **résultat livré**. Les deux se comparent en fin de cycle : l'écart entre les deux
+> images est la mesure honnête de ce qui a dérivé.
+
+---
+
+## 1 · Ce que l'image doit faire comprendre en dix secondes
+
+Un lecteur qui ne connaît pas le module doit sortir de l'image avec **quatre idées** :
+
+1. **Une fiche naît d'un incident**, pas d'une idée.
+2. **Elle se réutilise ou s'affine** — et l'affinage est **tracé**, jamais implicite.
+3. **Elle descend dans le plan de test du projet** : sans cela elle ne serait jamais appliquée.
+4. **Le module ne calcule rien et ne range rien** — il décrit, valide, projette.
+
+Si l'image laisse croire que le module *exécute* ou *stocke*, elle est ratée.
+
+## 2 · La composition
+
+**Format** : 16:9, paysage, fond clair, style schéma technique sobre — **pas** d'illustration
+métaphorique, pas de robot, pas de cerveau, pas d'ampoule.
+
+**Un flux de gauche à droite, en quatre stations reliées par des flèches pleines :**
+
+| station | ce qu'on voit | libellé |
+|---|---|---|
+| **1. L'INCIDENT** | un extrait de journal d'exécution avec une ligne en rouge sombre | « un défaut trouvé en recette » |
+| **2. LA FICHE** | une carte-document à cases visibles : énoncé · besoins · succès · **erreurs** (case plus haute, mise en évidence) · épreuve · verdict | « KIND-… — écrite une fois » |
+| **3. LA PROJECTION** | la fiche se dédouble en deux blocs — `exigences` et `essais` — portant la marque `mostajs-devtest/1` | « lue par qatrax, sans rien lui apprendre » |
+| **4. LES APPLICATIONS** | trois écrans distincts (ATC, RestoTrax, un troisième vierge marqué « le prochain ») recevant chacun la même fiche | « réutilisée » |
+
+**Sous la station 4**, une flèche de RETOUR remonte vers la station 2, plus fine, en pointillés,
+portant le libellé : **« l'écart tracé — ce que cette application a dû affiner »**. C'est la boucle
+qui fait vivre le catalogue ; elle doit être visible mais secondaire.
+
+**En bas, une bande de domaines** (pastilles) : `acces` · `donnees` · `apprentissage` · `decision`
+· `btp` · `alimentaire` · `elevage` · `agronomie` · `electronique`. Les quatre premières pleines
+(éprouvées), les cinq dernières en contour seul (déclarées, à instruire) — **la distinction doit
+se voir**.
+
+**En marge droite, deux boîtes grisées, hors du flux**, reliées par des traits fins :
+`@mostajs/ro-pla` (« les moteurs ») et `@mostajs/skill-library` (« l'efficacité mesurée »), avec la
+mention **« composés — pas réécrits »**.
+
+## 3 · Ce que l'image ne doit PAS montrer
+
+- **Aucune base de données** en station 2 : les fiches sont des **fichiers versionnés**. Un cylindre
+  de base à cet endroit contredirait la décision structurante du plan (#3 §3).
+- **Aucun engrenage ni flèche circulaire** autour du module : il **n'exécute rien**.
+- **Aucun classement hiérarchique** des fiches (arbre, taxonomie) : le graphe de relations est
+  explicitement **hors périmètre de la 0.1.0**.
+- **Aucun logo, aucune marque, aucun visage.**
+
+## 4 · Le prompt
+
+```
+Schéma technique 16:9, fond blanc cassé, style diagramme d'architecture logicielle sobre,
+traits fins, palette restreinte : gris ardoise, un bleu profond pour le flux principal,
+un rouge sombre réservé aux erreurs. Typographie sans-serif, étiquettes courtes.
+
+Flux horizontal de gauche à droite en quatre stations reliées par des flèches pleines :
+(1) un extrait de journal d'exécution, une ligne surlignée en rouge sombre, légende
+« un défaut trouvé en recette » ;
+(2) une carte-document aux cases visibles — énoncé, besoins, succès, ERREURS (case plus
+haute et bordée de rouge sombre), épreuve, verdict — légende « KIND — écrite une fois » ;
+(3) la carte se dédouble en deux blocs étiquetés « exigences » et « essais », marqués
+« mostajs-devtest/1 », légende « lue par l'outil de suivi, sans rien lui apprendre » ;
+(4) trois fenêtres d'application alignées, la troisième vide et marquée « le prochain »,
+recevant chacune la même carte, légende « réutilisée ».
+
+Une flèche de retour fine, en pointillés, remonte de (4) vers (2), étiquetée
+« l'écart tracé — ce que cette application a affiné ».
+
+Bande inférieure de pastilles de domaines : quatre pleines (accès, données, apprentissage,
+décision) puis cinq en contour seul (BTP, alimentaire, élevage, agronomie, électronique).
+
+Marge droite, hors du flux, deux boîtes grisées reliées par des traits fins :
+« ro-pla — les moteurs » et « skill-library — l'efficacité mesurée », sous-titre
+« composés, pas réécrits ».
+
+Pas de cylindre de base de données, pas d'engrenage, pas de flèche circulaire autour du
+module, pas d'arbre de classement, pas de logo, pas de visage, pas de métaphore.
+```
+
+## 5 · Critère de validation
+
+L'image est acceptée si un lecteur qui ne connaît pas le module répond juste à ces trois
+questions, sans autre indication :
+
+1. *D'où vient une fiche ?* → d'un incident.
+2. *Que devient-elle quand une application s'en sert ?* → elle descend dans son plan de test, et ce
+   qu'on affine remonte.
+3. *Le module calcule-t-il quelque chose ?* → non.
+
+Si la troisième réponse est « oui » ou « je ne sais pas », **l'image est refaite**.

package/docs/09bis-MATRICE-SOURCING-KIND-CATALOG.md

@@ -0,0 +1,176 @@
+# Matrice de sourcing — d'où vient le contenu du catalogue
+
+**Annexe au livrable #9** (plan de publication) · **Auteur** : Dr Hamid MADANI <drmdh@msn.com>
+**Date** : 2026-09-02 · **Module** : `@mostajs/kind-catalog` 0.1.0
+
+> **À quoi sert ce document.** Un catalogue publié sous licence libre expose son contenu au monde
+> entier, de façon permanente. La question « d'où vient votre contenu ? » sera posée — par un
+> investisseur, par un client, éventuellement par un ayant droit. Ce document y répond **avant**
+> qu'elle soit posée, corpus par corpus.
+>
+> ⚠️ **Ce n'est pas un avis juridique.** L'auteur n'est pas juriste. Les régimes indiqués sont ceux
+> que l'on croit applicables ; ils sont marqués **à vérifier** tant qu'ils ne l'ont pas été auprès
+> d'un conseil, dans la juridiction de l'éditeur. Le module exige une provenance déclarée pour
+> chaque fiche ; ce document s'applique à lui-même la même exigence.
+
+---
+
+## 1 · Le principe qui commande tout le reste
+
+**Le droit d'auteur protège l'EXPRESSION, pas les IDÉES ni les FAITS.**
+
+| on peut | on ne peut pas |
+|---|---|
+| lire un ouvrage et écrire **ses** fiches ensuite | reprendre ses formulations, même reformulées de près |
+| traiter des **mêmes sujets** — le territoire est commun | recopier gabarits, tableaux, exemples |
+| **citer** l'ouvrage comme antériorité | reproduire la **sélection et l'agencement** de son catalogue |
+| s'appuyer sur un **résultat** scientifique (c'est un fait) | recopier le **texte** ou les **figures** qui l'exposent |
+
+⚠️ **Le piège réel est la compilation.** Un catalogue est protégé *en tant que liste et ordre*.
+« Nous couvrons le même terrain parce que le terrain est le même » se défend. « Une fiche par
+patron de l'ouvrage X, dans son ordre » ne se défend pas.
+
+⚠️ **Notre exposition est maximale** : AGPL, publié sur npm, mondial et permanent. Ce n'est pas le
+contexte où l'on prend une marge d'appréciation.
+
+---
+
+## 2 · La matrice
+
+### A · Corpus LIBRES — le gisement principal
+
+| corpus | régime **présumé** | ce qu'on en tire | attribution exigée | statut |
+|---|---|---|---|---|
+| **CWE** (MITRE) | libre avec attribution | le **gabarit** de notre champ `erreurs` : une faiblesse, sa **conséquence**, sa détection. Le modèle le plus proche de notre besoin | « CWE™ — MITRE Corporation », mention de la version | **à vérifier** |
+| **CAPEC** (MITRE) | idem CWE | schémas d'abus, côté attaquant | idem | **à vérifier** |
+| **ATT&CK** (MITRE) | idem CWE | la **méthode** : ne consigner que l'observé | idem | **à vérifier** |
+| **OWASP** | Creative Commons — souvent **BY-SA** | erreurs les plus fréquentes, déjà hiérarchisées | attribution **+ partage à l'identique** | ⚠️ **à vérifier — voir §3** |
+| **NIST** (publications fédérales US) | domaine public aux États-Unis pour les œuvres du gouvernement | méthode, vocabulaire, RBAC | mention de la publication | **à vérifier** |
+| **Codex Alimentarius / HACCP** (FAO-OMS) | diffusion large voulue ; conditions FAO à confirmer | dangers, limites critiques, **actions correctives** — un catalogue d'erreurs **actionnable** | « Codex Alimentarius, FAO/OMS » | **à vérifier** |
+
+### B · Littérature scientifique — les FAITS sont libres, le texte ne l'est pas
+
+| source | ce qu'on prend | ce qu'on ne prend pas |
+|---|---|---|
+| Stigler 1945 — *The Cost of Subsistence* | **le problème** (composer une ration au moindre coût sous contraintes) et ses pièges connus | le texte, les tableaux, les chiffres de l'article |
+| Dantzig — simplexe | **la méthode**, publiée et enseignée | toute rédaction empruntée |
+| Rice 1976 — sélection d'algorithme | **le cadre** : choisir d'après la signature du problème | idem |
+| Aamodt & Plaza 1994 — raisonnement par cas | **le cycle** retrouver/réutiliser/réviser/retenir | idem |
+| Mavin *et al.* — EARS | **l'idée** d'une syntaxe contrainte (que nous avons d'ailleurs **écartée**) | les cinq gabarits, mot pour mot |
+
+> Une méthode mathématique publiée n'appartient à personne. Sa **rédaction**, si.
+
+### C · Ouvrages commerciaux — lecture, jamais matière
+
+| ouvrage | usage autorisé | usage interdit | statut |
+|---|---|---|---|
+| **Withall, *Software Requirement Patterns*, Microsoft Press, 2007** | **le lire**. Le citer comme antériorité. **Contrôler notre couverture** : s'il traite une catégorie que nos dix domaines ignorent, c'est une information gratuite | recopier ou paraphraser de près ses patrons, ses gabarits, ses « considérations » ; publier une correspondance 1:1 avec son catalogue | **achat, puis lecture — aucune reprise** |
+
+⚠️ **Règle d'écriture, et elle est plus efficace que toute précaution juridique** :
+**ne jamais ouvrir le livre en écrivant une fiche.** On paraphrase sans s'en apercevoir. Lire
+d'abord, refermer, écrire ensuite depuis nos incidents et nos sources libres.
+
+> **Ce qui nous protège le mieux est structurel** : notre fiche exige `succes`, `erreurs` **avec
+> conséquence**, `origine` et `verdict`, et elle **se projette** en plan de test. **Aucune de ces
+> quatre choses n'existe chez lui.** Le dérivé ne ressemble pas à la source, et cela se voit à
+> l'œil nu.
+
+### D · Normes et documents professionnels PAYANTS
+
+| corpus | régime | usage | statut |
+|---|---|---|---|
+| **ISO/IEC/IEEE 29148, 29119** | payant, protégé | **citer par numéro et par clause**. Jamais reproduire le texte | **acquis nécessaire si l'on veut s'y conformer** |
+| **NF DTU** (AFNOR) | payant, protégé | idem : citer la référence, jamais le contenu | **à vérifier avant toute fiche `btp`** |
+| **CCTG / CCTP** (marchés) | selon l'émetteur | souvent publics ; **vérifier au cas par cas** | **à vérifier** |
+| **ISO 14971, ARP4761** | payant | citation de référence seulement | **à vérifier** |
+
+⚠️ **Le domaine `btp` est le plus exposé** : son corpus de référence est majoritairement payant et
+protégé. Les fiches BTP doivent donc être écrites **depuis le terrain**, pas depuis les documents.
+
+### E · Documentation technique de fabricants — au cas par cas
+
+*Design rules*, notes d'application, tables de rationnement, guides de bonnes pratiques :
+**chacun porte ses propres conditions**. Beaucoup autorisent la citation, peu la reproduction.
+**À vérifier fiche par fiche**, et à défaut de certitude : **écrire depuis le terrain**.
+
+### F · NOS incidents — le seul gisement qui ne se copie pas
+
+| source | régime | valeur |
+|---|---|---|
+| défauts constatés en production (ATC, RestoTrax) | **nôtre** | les **6 fiches éprouvées** du corpus |
+| entretiens de praticiens (`terrain`) | **nôtre**, sous réserve du #16 | à venir |
+
+> **C'est l'actif.** Un solveur se copie en un trimestre ; une erreur payée en incident, non.
+> Et c'est le seul gisement dont la réutilisation ne pose aucune question.
+
+---
+
+## 3 · ⚠️ Le cas OWASP — le partage à l'identique
+
+Une bonne partie du contenu OWASP est diffusée sous **Creative Commons BY-SA**. La clause de
+**partage à l'identique** est contaminante pour les **œuvres dérivées** : un document qui reprend
+substantiellement du contenu BY-SA doit être rediffusé sous la même licence.
+
+| ce qu'on fait | risque |
+|---|---|
+| s'inspirer de la **méthode** (hiérarchiser par fréquence) | **nul** — une méthode n'est pas une œuvre |
+| citer une entrée du Top 10 par son identifiant | **nul** — citation courte, attribuée |
+| **reprendre le texte descriptif** d'une entrée dans une fiche | **réel** — la fiche, voire le corpus, deviendrait BY-SA |
+
+**Décision retenue : aucun texte OWASP n'entre dans une fiche.** On y puise des sujets et une
+méthode, jamais des phrases. Le code reste AGPL, la documentation reste nôtre.
+
+---
+
+## 4 · Comment écrire l'`origine` selon la source
+
+Le module exige une provenance déclarée. Voici la forme, par cas :
+
+```js
+// corpus libre — nommer le corpus ET la version
+origine: [{ type: 'reference', source: 'CWE-639 (MITRE, CWE 4.x) — contrôle d’accès par référence d’objet' }]
+
+// littérature — le FAIT, avec sa paternité
+origine: [{ type: 'reference', source: 'Problème du régime (Stigler 1945 ; résolu par le simplexe de Dantzig)' }]
+
+// norme payante — référence SEULE, jamais le contenu
+origine: [{ type: 'reference', source: 'ISO/IEC/IEEE 29148 — attribut de vérifiabilité (référencé, non reproduit)' }]
+
+// ouvrage commercial — antériorité, sans reprise
+origine: [{ type: 'reference', source: 'Withall, Software Requirement Patterns (2007) — antériorité, aucune reprise de texte' }]
+
+// terrain — RÔLE et organisation, JAMAIS le nom (cf. #16 DPIA)
+origine: [{ type: 'terrain', source: 'chef de culture, exploitation X, entretien du 12/09/2026' }]
+
+// incident — fichier et date VÉRIFIABLES dans le dépôt
+origine: [{ type: 'incident', source: 'ATC — presence.mjs, portail.mjs (3 emplois)', date: '2026-09-01' }]
+```
+
+---
+
+## 5 · Contrôle de revue — à passer sur toute fiche nouvelle
+
+| # | question | si non |
+|---|---|---|
+| 1 | La fiche a-t-elle été écrite **livre fermé** ? | réécrire de mémoire, sans la source ouverte |
+| 2 | Une phrase pourrait-elle être retrouvée dans la source par recherche textuelle ? | reformuler entièrement |
+| 3 | L'`origine` nomme-t-elle le corpus **et sa version** ? | compléter |
+| 4 | Un `terrain` cite-t-il un **rôle**, pas un nom ? | anonymiser (#16) |
+| 5 | Un `incident` cite-t-il un fichier et une date **vérifiables** ? | compléter — sinon rétrograder en `propose` |
+| 6 | La source est-elle **payante ou protégée** ? | ne garder que la **référence**, écrire depuis le terrain |
+| 7 | Le corpus reprend-il la **liste et l'ordre** d'un catalogue existant ? | **arrêter** — c'est le risque de compilation |
+
+---
+
+## 6 · Ce qui reste à faire, et qui bloque quoi
+
+| # | action | bloque |
+|---|---|---|
+| 1 | **Vérifier les conditions d'utilisation** de CWE/CAPEC/ATT&CK, OWASP, Codex, NIST | l'usage de ces corpus comme matière |
+| 2 | **Vérifier les sources** citées dans #1 et #17 (titres, années, éditeurs) | la **diffusion de l'article** #17 |
+| 3 | Faire relire la question de la **compilation** par un conseil, dans la juridiction de l'éditeur | rien aujourd'hui ; **à faire avant une levée** |
+| 4 | Décider pour le domaine `btp` : acquérir les DTU, ou écrire depuis le terrain | les fiches `btp` au-delà de la première |
+
+> **Aucun de ces points ne bloque la publication du paquet** : les 12 fiches actuelles sont soit
+> issues de nos incidents, soit adossées à des faits scientifiques ou à des corpus dont la
+> réutilisation est largement admise, et **aucune ne reprend de texte**.