@nodefony/devkit 10.0.0-alpha.9 → 10.0.0-beta.2

package/README.md

@@ -75,10 +75,13 @@ navigateur — d'où la commande, qui reste la porte utile.
 npx nodefony ai:mcp        # écrit .mcp.json ; --dry-run pour voir sans écrire
 ```
 
-Quatre outils : **`nodefony_inspect`** (ce qui est monté), **`nodefony_check`**
-(ce qui manque), **`nodefony_symbols`** (ce qu'une API du framework signifie),
-**`nodefony_card`** (par où commencer). Ce sont les mêmes briques que les
-commandes du même nom — une source, plusieurs portes.
+Sept outils : **`nodefony_inspect`** (ce qui est monté), **`nodefony_check`**
+(ce qui manque — la commande s'appelle `doctor`), **`nodefony_symbols`** (ce qu'une
+API du framework signifie), **`nodefony_card`** (par où commencer),
+**`nodefony_docs`** (la documentation des modules installés), **`nodefony_admin_list`**
+et **`nodefony_admin_call`** (lectures du data plane d'administration, jeton porteur
+du scope `admin:read` exigé). Ce sont les mêmes briques que les commandes — une
+source, plusieurs portes.
 
 **Ce n'est pas un process de plus.** Depuis la révision `2026-07-28` du transport
 « Streamable HTTP », un serveur MCP est un simple endpoint `POST` sans session :
@@ -162,7 +165,7 @@ connaît pas encore.
 
 ### Vos propres outils
 
-Ces quatre-là décrivent le framework ; ils ne savent rien de votre métier. Tout
+Ces outils intégrés décrivent le framework ; ils ne savent rien de votre métier. Tout
 module de votre application peut publier les siens en implémentant
 `getMcpTools(): IMcpTool[]` :
 
@@ -203,12 +206,13 @@ c'est fermé par défaut, et c'est voulu. Détail et pièges :
 
 ## Les skills d'agent
 
-Le paquet livre six **skills** au format [Agent Skills](https://agentskills.io)
+Le paquet livre huit **skills** au format [Agent Skills](https://agentskills.io)
 — la marche à suivre complète pour les tâches où un agent, sans eux, inventerait
 du code : créer une ressource REST, ajouter un service injectable, réserver une
 route à qui est habilité, ouvrir un canal temps réel, faire évoluer le schéma
-d'une base sans la détruire, et voir puis MESURER un écran dans un navigateur
-piloté. Ils sont lus par tout client conforme (Claude Code, Cursor, Copilot,
+d'une base sans la détruire, voir puis MESURER un écran dans un navigateur
+piloté — plus un skill qui conduit toute tâche de développement et un qui décrit
+l'exploitation en conteneur. Ils sont lus par tout client conforme (Claude Code, Cursor, Copilot,
 VS Code, Codex, Goose…).
 
 `nodefony create app` les met à disposition à la création. Après un
@@ -225,10 +229,12 @@ npx nodefony ai:sync            # --dry-run pour voir sans écrire, --json pour
   = nodefony-add-realtime-channel  @nodefony/devkit
   = nodefony-add-service           @nodefony/devkit
   = nodefony-browser               @nodefony/devkit
+  = nodefony-dev                   @nodefony/devkit
+  = nodefony-devops                @nodefony/devkit
   = nodefony-migrate-schema        @nodefony/devkit
   = nodefony-protect-route         @nodefony/devkit
 
-  0 posé(s) · 0 mis à jour · 6 inchangé(s)
+  0 posé(s) · 0 mis à jour · 8 inchangé(s)
 ```
 
 **Le préfixe `nodefony-` vous laisse la place.** Ces pointeurs arrivent dans
@@ -262,9 +268,14 @@ plus aucun paquet ne livre est **signalé, jamais supprimé** — vous avez pu e
 
 ## Configuration
 
-| Clé       | Type      | Défaut | Rôle                   |
-| --------- | --------- | ------ | ---------------------- |
-| `enabled` | `boolean` | `true` | Interrupteur du module |
+| Clé                  | Type       | Défaut          | Rôle                                                  |
+| -------------------- | ---------- | --------------- | ----------------------------------------------------- |
+| `enabled`            | `boolean`  | `true`          | Interrupteur du module                                |
+| `mcp.enabled`        | `boolean`  | `true`          | Interrupteur de la porte MCP                          |
+| `mcp.allowedOrigins` | `string[]` | `[]`            | Origines navigateur admises sur la porte MCP          |
+| `mcp.allowRemote`    | `boolean`  | `false`         | Accepte un client hors de la boucle locale            |
+| `mcp.tools`          | `string[]` | les sept outils | Outils exposés                                        |
+| `mcp.authorization`  | objet      | —               | Autorisation OAuth de la porte (voir `docs/index.md`) |
 
 La source unique est le schéma Zod de `nodefony/config/config.ts` : c'est lui qui
 porte les défauts, les descriptions et la validation. Une clé inconnue ou mal

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.152.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.152.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.152.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.152.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/_virtual/{_@oxc-project_runtime@0.151.0 → _@oxc-project_runtime@0.152.0}/helpers/esm/decorateParam.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorateParam.js
+//#region \0@oxc-project+runtime@0.152.0/helpers/esm/decorateParam.js
 function __decorateParam(paramIndex, decorator) {
 	return function(target, key) {
 		decorator(target, key, paramIndex);

package/dist/index.js

@@ -1,8 +1,8 @@
 import defaults, { devkitConfigSchema } from "./nodefony/config/config.js";
 import { defineDevkitConfig } from "./nodefony/config/defineModuleConfig.js";
 import { buildCard } from "./nodefony/src/card.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
 import DevkitService_default from "./nodefony/service/DevkitService.js";
 import DevkitController_default from "./nodefony/controllers/DevkitController.js";
 import McpController_default from "./nodefony/controllers/McpController.js";
@@ -33,7 +33,8 @@ let DevkitModule = class DevkitModule extends Module {
 	* fautif nommé, plutôt qu'en `undefined.x` au premier appel en production.
 	*/
 	async onKernelRegister() {
-		this.options = defineDevkitConfig(this.options ?? {});
+		const input = this.options;
+		this.options = defineDevkitConfig(input ?? {});
 		return this;
 	}
 };

package/dist/nodefony/controllers/DevkitController.js

@@ -1,5 +1,5 @@
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
 import { Controller, controller, route } from "@nodefony/framework";
 //#region nodefony/controllers/DevkitController.ts
 /**

package/dist/nodefony/controllers/McpController.js

@@ -1,6 +1,6 @@
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
-import __decorateParam from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateParam.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
+import __decorateParam from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateParam.js";
 import { ACCESS_TOKEN_VERIFIER, JsonRpcError, Nodefony, authorizeProtectedResource, checkMcpAccess, collectMcpTools, handleMcpMessage, jsonRpcFailure, mcpCallerRoles, protectedResourceMetadataUrl, readBearerHeader } from "nodefony";
 import { Body, Controller, Headers, controller, route } from "@nodefony/framework";
 //#region nodefony/controllers/McpController.ts

package/dist/nodefony/service/DevkitService.js

@@ -1,7 +1,7 @@
 import defaults from "../config/config.js";
 import { buildCard } from "../src/card.js";
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.152.0/helpers/esm/decorate.js";
 import { Module, Nodefony, Service, extend, injectable, mcpDeclaredScopes } from "nodefony";
 //#region nodefony/service/DevkitService.ts
 /**
@@ -57,7 +57,8 @@ let DevkitService = class DevkitService extends Service {
 	module;
 	cfg;
 	constructor(module) {
-		const merged = extend(true, {}, defaults, module.options ?? {});
+		const options = module.options;
+		const merged = extend(true, {}, defaults, options ?? {});
 		super("devkit", module.container, module.notificationsCenter, merged);
 		this.module = module;
 		this.cfg = merged;

package/docs/index.md

@@ -4,7 +4,7 @@ navTitle: devkit
 lang: fr
 module: "@nodefony/devkit"
 topic: overview
-audience: [human, ai]
+audience: [developer]
 tags: [module, developpement, agent]
 status: stable
 updated: 2026-09-01
@@ -198,7 +198,7 @@ convient.
 
 ### Ajouter VOS outils — ce que l'agent ne peut pas deviner
 
-Les quatre outils ci-dessus décrivent le framework. Ils ne savent rien de votre
+Les outils intégrés ci-dessus décrivent le framework. Ils ne savent rien de votre
 métier — et c'est précisément ce qu'un agent invente le plus mal. N'importe quel
 module de votre application peut donc en publier :
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nodefony/devkit",
-  "version": "10.0.0-alpha.9",
+  "version": "10.0.0-beta.2",
   "type": "module",
   "description": "Outillage de développement d'une application Nodefony : carte de visite du projet et portes de découverte pour un agent de développement",
   "author": "Christophe CAMENSULI <ccamensuli@gmail.com>",
@@ -25,17 +25,17 @@
     "coverage": "vitest run --coverage"
   },
   "peerDependencies": {
-    "@nodefony/framework": "^10.0.0-alpha.9",
-    "@nodefony/http": "^10.0.0-alpha.9",
-    "nodefony": "^10.0.0-alpha.9",
+    "@nodefony/framework": "^10.0.0-beta.2",
+    "@nodefony/http": "^10.0.0-beta.2",
+    "nodefony": "^10.0.0-beta.2",
     "zod": "^4.6.5",
     "playwright": "^1.50.0",
     "lighthouse": "^13.0.0"
   },
   "devDependencies": {
-    "@nodefony/framework": "^10.0.0-alpha.9",
-    "@nodefony/http": "^10.0.0-alpha.9",
-    "nodefony": "^10.0.0-alpha.9"
+    "@nodefony/framework": "^10.0.0-beta.2",
+    "@nodefony/http": "^10.0.0-beta.2",
+    "nodefony": "^10.0.0-beta.2"
   },
   "dependencies": {
     "axe-core": "4.13.0",

package/skills/nodefony-add-service/SKILL.md

@@ -4,12 +4,14 @@ description: >
   Crée un service injectable dans une application Nodefony par `nodefony create service`, et le
   fait entrer dans le conteneur — la moitié qu'on oublie. Porte la distinction entre le nom de la
   CLASSE et le nom de l'INSTANCE, les deux façons d'obtenir un service depuis un autre
-  (`@inject` au constructeur ou `container.get` à l'usage), et le défaut mesuré qu'un service
+  (`@inject` au constructeur ou `container.get` à l'usage), le choix de sa durée de vie
+  (un exemplaire pour l'application, ou un par requête), et le défaut mesuré qu'un service
   écrit à la main produit : une classe qui compile, dont les tests passent, et que le conteneur
   ignore. À charger AVANT d'écrire une classe de service ou d'appeler un service depuis un autre.
   Déclencheurs : "crée un service", "un service métier", "logique métier partagée", "injecter une
   dépendance", "container.get", "@injectable", "@services", "appeler un service depuis un autre",
-  "mon service est undefined", "le conteneur ne trouve pas mon service".
+  "mon service est undefined", "le conteneur ne trouve pas mon service", "un service par
+  requête", "un état propre à chaque requête", "scope request".
 ---
 
 # add-service — un service que le conteneur connaît
@@ -58,7 +60,7 @@ et à l'introspection, et n'est construit qu'à la première requête qui le ré
 
 ## Deux noms, et ils ne servent pas à la même chose
 
-C'est le piège n°1, et il ne produit aucune erreur — juste un `undefined` :
+C'est le piège n°1, et il ne produit aucune erreur — juste un `null` :
 
 ```ts
 @injectable()                            // ← nomme la CLASSE : @inject("BillingService")
@@ -69,6 +71,23 @@ export class BillingService extends Service {
 }
 ```
 
+## Choisir sa durée de vie — un seul exemplaire, ou un par requête
+
+Chaque requête a son propre conteneur (un scope, calque posé sur celui de l'application et jeté à
+la fin ; en WebSocket, à la fin de la connexion). La portée décide où vit l'exemplaire :
+
+| `@injectable(…)`                         | Exemplaires                             | Pour                                                      |
+| ---------------------------------------- | --------------------------------------- | --------------------------------------------------------- |
+| `()` ou `("nom")` — défaut `singleton`   | un pour toute l'application             | cache, pool, client : ce qui doit être unique             |
+| `({ scope: "transient" })`               | un par résolution                       | un objet jetable sans état partagé                        |
+| `({ name: "tenant", scope: "request" })` | un par requête, créé si elle le demande | ce qui naît et meurt avec la requête (`clean()` à la fin) |
+
+Un service `request` reçoit le scope au constructeur (`super("tenant", scope, false)`, même nom
+qu'au décorateur) ; `create service` n'en génère pas, il s'écrit à la main. Un singleton qui en
+dépend est refusé au démarrage. Pour **lire** une donnée de la requête depuis un singleton, pas
+besoin de portée : `RequestContext.getScope()` ou `RequestContext.get()` au moment de l'appel.
+Détail : `node_modules/nodefony/docs/service.md`.
+
 ## Obtenir un service depuis un autre — deux voies, un choix
 
 | Voie                           | Quand                                                                         |

package/skills/nodefony-browser/scripts/inspect.mjs

@@ -167,8 +167,8 @@ await page.addInitScript(() => {
     if (window.__nfCsp.length < 20)
       window.__nfCsp.push({
         directive: e.violatedDirective,
-        blocked: String(e.blockedURI ?? "").slice(0, 140),
-        source: String(e.sourceFile ?? "").slice(0, 140),
+        blocked: (e.blockedURI ?? "").slice(0, 140),
+        source: (e.sourceFile ?? "").slice(0, 140),
         line: e.lineNumber,
       });
   });
@@ -355,7 +355,7 @@ function effectiveBackground(el) {
   let opaqueLayer = null;
   for (let n = el; n; n = n.parentElement) {
     const bg = getComputedStyle(n).backgroundColor;
-    if (!bg || /transparent/.test(bg)) continue;
+    if (!bg || bg.includes("transparent")) continue;
     const { a } = parseColor(bg);
     if (a === 0) continue;
     if (a >= 1) {
@@ -397,7 +397,7 @@ function probeA11y() {
   // simplifié suffit à attraper un bouton-icône muet — le cas réel.
   const accessibleName = (el) => {
     const aria = el.getAttribute("aria-label");
-    if (aria && aria.trim()) return aria.trim();
+    if (aria?.trim()) return aria.trim();
     const refs = el.getAttribute("aria-labelledby");
     if (refs) {
       const t = refs
@@ -682,14 +682,14 @@ async function measurePage(args) {
 // CSP de l'application refuserait à bon droit) : c'est le pilote qui évalue.
 const expression = `((args) => {
 ${sourceWcag()}
-${describeElement}
-${isVisible}
-${effectiveBackground}
-${probeA11y}
-${probeRendering}
-${probeWebStorage}
-${readPerf}
-return (${measurePage})(args);
+${describeElement.toString()}
+${isVisible.toString()}
+${effectiveBackground.toString()}
+${probeA11y.toString()}
+${probeRendering.toString()}
+${probeWebStorage.toString()}
+${readPerf.toString()}
+return (${measurePage.toString()})(args);
 })(${JSON.stringify({ probes: PROBES, families: [...active] })})`;
 
 const measured = await page.evaluate(expression);
@@ -711,7 +711,9 @@ if (active.has("axe")) {
   try {
     const axeCode = await axeSource();
     const report = await page.evaluate(async (source) => {
-      // eslint-disable-next-line no-new-func -- évalué par le pilote, hors CSP
+      // Le code d'axe-core est une CHAÎNE à exécuter dans la page : c'est le seul
+      // moyen de l'y charger sans `<script>` injecté, que la CSP refuserait.
+      // oxlint-disable-next-line no-new-func, typescript/no-implied-eval -- évalué par le pilote, hors CSP
       new Function(source)();
       return await window.axe.run(document, {
         resultTypes: ["violations", "incomplete"],

package/skills/nodefony-browser/scripts/lib/probes.mjs

@@ -39,7 +39,7 @@ export const FAMILIES = Object.freeze({
  *   et celles qui n'existent pas — à refuser, jamais à ignorer.
  */
 export function parseFamilies(raw, fallback = []) {
-  const requested = String(raw ?? "").trim();
+  const requested = (raw ?? "").trim();
   if (!requested) return { kept: [...fallback], unknown: [] };
   if (requested === "toutes") {
     return { kept: Object.keys(FAMILIES), unknown: [] };
@@ -71,7 +71,7 @@ export function parseFamilies(raw, fallback = []) {
 export function parseProbes(raw) {
   const probes = [];
   const rejected = [];
-  for (const chunk of String(raw ?? "")
+  for (const chunk of (raw ?? "")
     .split(",")
     .map((p) => p.trim())
     .filter(Boolean)) {
@@ -171,9 +171,7 @@ export function parseActions(raw) {
  *   `schema` à null quand rien n'est demandé (on ne force rien).
  */
 export function parseColorScheme(raw) {
-  const v = String(raw ?? "")
-    .trim()
-    .toLowerCase();
+  const v = (raw ?? "").trim().toLowerCase();
   if (!v) return { schema: null, invalid: null };
   if (v === "light" || v === "dark" || v === "no-preference")
     return { schema: v, invalid: null };
@@ -200,7 +198,7 @@ export function parseColorScheme(raw) {
 export function parseStorage(raw) {
   const entries = [];
   const rejected = [];
-  for (const chunk of String(raw ?? "")
+  for (const chunk of (raw ?? "")
     .split(",")
     .map((p) => p.trim())
     .filter(Boolean)) {
@@ -261,7 +259,7 @@ export function environmentDefaults({ inContainer, base, out } = {}) {
  * @returns {string} le nom de fichier, sans dossier.
  */
 export function authStateName(login) {
-  const raw = String(login ?? "");
+  const raw = login ?? "";
   const readable =
     raw.replace(/[^A-Za-z0-9._-]/gu, "_").slice(0, 40) || "anonyme";
   const fingerprint = createHash("sha256")
@@ -284,7 +282,7 @@ export function authStateName(login) {
 export function parseWidths(raw) {
   const widths = [];
   const invalidWidths = [];
-  for (const chunk of String(raw ?? "")
+  for (const chunk of (raw ?? "")
     .split(",")
     .map((p) => p.trim())
     .filter(Boolean)) {
@@ -427,7 +425,7 @@ export function summarizeLighthouse(lhr, threshold = 0.9) {
   for (const c of categories) {
     for (const ref of c.auditRefs ?? []) {
       const a = audits[ref.id];
-      if (!a || a.score === null || a.score === undefined) continue;
+      if (a?.score == null) continue;
       if (a.score >= threshold) continue;
       failed.push({
         category: c.id,
@@ -495,7 +493,7 @@ export function summarizeLighthouse(lhr, threshold = 0.9) {
  * @returns {string[]} les navigateurs à essayer, dans l'ordre.
  */
 export function browserOrder(explicit) {
-  const v = String(explicit ?? "").trim();
+  const v = (explicit ?? "").trim();
   if (v) return [v];
   return ["chromium", "chrome", "msedge"];
 }

package/skills/nodefony-browser/scripts/lib/wcag.mjs

@@ -39,7 +39,7 @@
  * @throws {Error} si la notation n'est pas reconnue.
  */
 export function parseColor(color) {
-  const s = String(color).trim();
+  const s = color.trim();
   // `transparent` est le SEUL mot-clé que les navigateurs rendent parfois tel
   // quel, et il a une valeur définie : `rgba(0, 0, 0, 0)`. Le refuser serait
   // faux — un fond non peint est un cas courant, pas une erreur de mesure.
@@ -51,7 +51,7 @@ export function parseColor(color) {
   if (hex) {
     const d = hex[1];
     if (d.length === 3 || d.length === 4) {
-      const q = [...d].map((c) => parseInt(c + c, 16));
+      const q = Array.from(d, (c) => parseInt(c + c, 16));
       return {
         r: q[0],
         g: q[1],
@@ -73,7 +73,7 @@ export function parseColor(color) {
   const numbers = s.match(/-?\d*\.?\d+(?:e-?\d+)?%?/gi);
   if (!numbers || numbers.length < 3)
     throw new Error(
-      `notation de couleur non reconnue : ${JSON.stringify(String(color))} — ` +
+      `notation de couleur non reconnue : ${JSON.stringify(color)} — ` +
         "attendu rgb()/rgba(), color(srgb …) ou #rrggbb",
     );
   // `color(srgb …)` et `color(display-p3 …)` : canaux en 0–1. Le pourcentage
@@ -164,7 +164,7 @@ export function contrastRatio(a, b) {
  * @returns {boolean} vrai si les seuils « texte large » s'appliquent.
  */
 export function isLargeText(px, bold) {
-  return px >= 24 || (bold === true && px >= 18.66);
+  return px >= 24 || (bold && px >= 18.66);
 }
 
 /**

package/skills/nodefony-browser/scripts/socket.mjs

@@ -320,7 +320,7 @@ async function scenarioSocket(conf) {
   } catch (e) {
     result.reconnection = {
       closedAt,
-      verdict: `ÉCHEC — ${String(e && e.message ? e.message : e).slice(0, 140)}`,
+      verdict: `ÉCHEC — ${String(e?.message ? e.message : e).slice(0, 140)}`,
     };
   }
   result.closes = closes;
@@ -337,7 +337,7 @@ try {
   // L'accueil qui ne vient jamais est LE symptôme à diagnostiquer en premier :
   // endpoint faux, page non authentifiée, ou Origin refusé par le serveur.
   console.error(
-    `Scénario interrompu : ${String(e && e.message ? e.message : e).slice(0, 300)}\n` +
+    `Scénario interrompu : ${String(e?.message ? e.message : e).slice(0, 300)}\n` +
       `→ vérifier le chemin du endpoint, l'authentification (NF_BROWSER_USER + NF_BROWSER_LOGIN), et que la page ${process.env.NF_BROWSER_PAGE ?? "/"} appartient bien à la même origine.`,
   );
   await browser.close();

package/skills/nodefony-dev/SKILL.md

@@ -240,6 +240,15 @@ npx nodefony stop <nom|chemin>           # arrêter un AUTRE projet, sans change
 npx nodefony production --detach --wait   # boot réel en arrière-plan ; rend la main ports OUVERTS
 ```
 
+**Déboguer** : en développement, les piles d'appels pointent vers les `.ts` de l'application (le
+build de dev émet ses sourcemaps et le serveur les lit ; `npm run build`, lui, n'en émet pas — une
+pile de production pointe vers `dist/`). Pour un point d'arrêt : `npm run debug` (= `nodefony debug` :
+le mode développement, débogueur ouvert sur `127.0.0.1:9229`), puis `chrome://inspect` ou « Attach »
+dans l'éditeur. `--inspect=<port>` change le port, `--inspect-brk` arrête avant le chargement de
+l'application ; `nodefony development --inspect` fait la même chose. C'est le SERVEUR qui ouvre
+l'inspecteur, et il le rouvre à chaque rechargement ; marche aussi avec `--no-watch`. ⚠️ Jamais `NODE_OPTIONS=--inspect` :
+le premier process node de la chaîne (`npx`, `npm`) prend le port, et le serveur ne s'arrête jamais.
+
 **Arrête ce que tu démarres.** Un serveur laissé derrière garde les ports : le run suivant échoue
 sur une erreur qui ne parle jamais de lui (`EADDRINUSE`) — ou pire, un test interroge l'ANCIENNE
 version du code. Et **jamais `… &`** : le processus reçoit SIGHUP et meurt ; tuer le PID du port ne
@@ -306,6 +315,8 @@ Chacun a déjà coûté au moins une heure à quelqu'un. Les quatre premiers son
 - **Une clé de configuration mal orthographiée est retirée en silence.** `satisfies` sur le
   fragment n'est pas décoratif : sans lui, la faute compile, puis la validation écarte la clé et
   le module démarre sur son défaut. Personne ne le voit.
+- **La config d'un module est FIGÉE après le démarrage** : l'écrire lève `TypeError`. Une variante
+  par requête = `overlayConfig()` (clés de la liste blanche du module), lue par `useConfig()`.
 - **Tu lis une liste sans la BORNER.** Un `find` sans limite matérialise la table entière —
   indolore sur les quelques lignes du poste de développement, fatal sur les dizaines de milliers
   de la production. Le service d'une entité hérite `findPage({ limit: 25 })`.
@@ -370,12 +381,11 @@ Chacun a déjà coûté au moins une heure à quelqu'un. Les quatre premiers son
 
 ## 8. Données et fichiers — les façades qu'on ne recompose pas
 
-- **Un adaptateur de données ne remplace pas l'autre : ils se COMPLÈTENT.** Chacun déclare les
-  _stores_ qu'il sait tenir (`nodefony.stores` de son `package.json`) — `drizzle` les huit,
-  `mongoose` cinq (ni `totp`, ni `audit`, ni `idempotency`), `redis` quatre. Ce n'est pas un retard
-  de développement mais un CHOIX : un journal d'audit n'a rien à faire dans un moteur documentaire.
-  Ne promets jamais une parité qui n'existe pas — `npx nodefony inspect stores` dit où atterrit
-  chaque donnée.
+- **Un cache ne remplace pas une base : ils se COMPLÈTENT.** Chaque adaptateur déclare les
+  _stores_ qu'il sait tenir (`nodefony.stores` de son `package.json`) — `drizzle` et `mongoose` les
+  huit, `redis` quatre (`session`, `tokens`, `passkeys`, `idempotency`) : un cache ne garde ni
+  comptes ni journal d'audit. Ne promets jamais une parité qui n'existe pas — lis ce champ, et
+  `npx nodefony inspect stores` dit où atterrit chaque donnée.
 - **Les violations de contrainte sont DÉJÀ traduites en HTTP — ne les rattrape pas.** Un doublon
   sur une colonne unique ressort en **409**, une donnée qui viole le schéma Zod en **422**, chacun
   avec son corps JSON : le rendu d'erreur lit le code du pilote (`23505`, `ER_DUP_ENTRY`,

package/skills/nodefony-dev/scripts/docs.mjs

@@ -59,7 +59,7 @@ export function parseArgs(argv) {
   const opts = {
     terms: [],
     list: false,
-    open: null,
+    open: /** @type {string | null} */ (null),
     json: false,
     limit: DEFAULT_LIMIT,
     root: process.cwd(),

package/skills/nodefony-devops/references/image.md

@@ -11,7 +11,7 @@ du frontal ne sort que si tu le demandes explicitement.
 | ----------- | ------------------- | --------------------------------------------------------------------- | ----------------------------- |
 | `build`     | `node:24-alpine`    | Installe, compile, élague les dépendances de développement            | seulement son `/app`          |
 | `proxyconf` | hérite de `build`   | **Dérive** la configuration nginx et rassemble les fichiers statiques | non — étage intermédiaire     |
-| `edge`      | `nginx:1.27-alpine` | Le frontal, avec la configuration dérivée ci-dessus                   | non — cible séparée           |
+| `edge`      | `nginx:1.30-alpine` | Le frontal, avec la configuration dérivée ci-dessus                   | non — cible séparée           |
 | _(final)_   | `node:24-alpine`    | L'application en production                                           | **oui**                       |
 
 ```bash