@supersoniks/concorde 5.1.2 → 5.1.3-immutable.1

package/AUDIT.md

@@ -1,228 +0,0 @@
-# Audit Concorde — 2026-10-25
-
-Périmètre : `@supersoniks/concorde` 5.1.0 (commit `bc799ae`), ~28 k lignes TS dans `src/core` (hors doc), 197 fichiers.
-Méthode : typecheck, tests, build (dans une copie), `yarn audit`, `npm pack --dry-run`, doc lancée sur le port 3010 et parcourue, puis relecture du code. Chaque constat ci-dessous a été vérifié dans le code. Ceux marqués ✅ ont en plus été reproduits.
-
-## Synthèse
-
-| Indicateur | Résultat |
-|---|---|
-| `tsc --build` (strict) | ✅ 0 erreur |
-| Tests vitest | ✅ 31 fichiers, 332 tests, tous verts |
-| `yarn build` | ✅ OK, bundles de 460 Ko (UMD) et 648 Ko (ES) |
-| `yarn audit` | ⚠️ 116 vulnérabilités (3 critiques, 60 hautes), **toutes dans l'outillage de dev** |
-| Lint / format | ❌ Ni ESLint ni Prettier ; 227 `any` hors specs |
-| CI | ⚠️ Tests seulement : ni build ni typecheck |
-
-Le cœur est solide : bon typage de `DataProviderKey`, décorateurs récents bien conçus, bonne couverture sur l'API et SDUI. En revanche, la surface **XSS est large** : `unsafeHTML` par défaut un peu partout, un profil SDUI « safe » qui ne l'est pas, et un postMessage non filtré. Il y a aussi plusieurs **fuites et boucles** dans la couche données.
-
----
-
-## 🔴 Critique
-
-### C1. XSS cross-origin via postMessage (toast)
-- **Où :** `src/core/components/ui/toast/toast.ts:283-323`.
-- **Problème :** le listener `message` s'installe au chargement du module et ne vérifie ni `e.origin` ni `e.source`. `addToast`/`addToasts` aboutissent à `renderToastContent`, qui rend les chaînes avec `unsafeHTML` (`render-content.ts:12`).
-- **Exploitation :** une iframe tierce (pub, widget) ou une fenêtre ouverte par `window.open` envoie `postMessage({type:"addToast",toast:{text:'<img src=x onerror=…>'}},"*")`, et le code s'exécute.
-- **Effet secondaire :** `{type:"sonicToastAvailable"}` active `delegateToasts`. Tous les toasts suivants partent alors vers `window.parent` avec la cible `"*"`.
-- **Correctif :** vérifier `e.origin` (même origine ou liste blanche) ; `targetOrigin` explicite ; texte brut pour tout contenu reçu par postMessage.
-
-### C2. Boucle infinie de requêtes sur HTTP 498
-- **Où :** `src/core/utils/api.ts:210-229`.
-- **Problème :** sans `tokenProvider`, `failledTokenUpdates` n'est jamais rempli. Chaque 498 relance la requête, qui renvoie à nouveau 498, sans fin.
-- **Correctif :** un drapeau `retried` dans `lastCall`, pour une seule relance.
-
-### C3. Les hooks de cycle de vie des sous-classes fuient vers la classe parente
-- **Où :** `src/core/decorators/subscriber/common.ts:18-44`.
-- **Problème :** `__is__setSubscribable__` et les `Set` de callbacks sont lus via la chaîne de prototypes. Avec `Child extends Base`, les `@subscribe` de `Child` s'enregistrent dans le `Set` de `Base`. Toutes les instances de `Base` s'abonnent alors aux chemins de `Child`. Reproduit en Node par l'agent d'audit.
-- **Correctif :** `Object.hasOwn(target, …)`, un `Set` par prototype, et un appel en chaîne des hooks hérités.
-
-## 🟠 Haute
-
-### Sécurité
-- **H1. Le profil SDUI `safe` est contournable.**
-  - **Où :** `sdui.ts:250` (tagName libre) et `sdui.ts:412-419` (`setAttribute` sans filtre). `sdui-safe.ts` ne bloque que `js`/`markup`/`innerHTML`/`prefix`/`suffix`.
-  - **Ce qui passe :** `script src=…`, `img onerror=…`, `iframe srcdoc`, `a href="javascript:"`, `::inner-html`, `css` chargées même en safe, labels rendus en HTML (voir H3).
-  - **Correctif :** liste blanche de tags ; refus de `on*`, `srcdoc`, `style` et `::*` ; filtrage des schémas `javascript:` et `data:` dans les URL.
-- **H2. Messages d'API rendus en HTML.**
-  - **Où :** `toast/message-subscriber.ts:30` ; `sdui.ts:227` injecte ce subscriber automatiquement.
-  - **Problème :** `messages[].content` passe par `unsafeHTML`. Un message serveur qui reprend une saisie utilisateur (« l'email `<img onerror>` existe déjà ») devient une XSS.
-- **H3. `label`, `description` et titres de modale passent en `unsafeHTML` par défaut.**
-  - **Où :** `input`, `select`, `textarea`, `checkbox`, `group`, `divider`, `legend`, `card-header`, `same-value-helper`, `modal.ts:434`.
-  - **Problème :** c'est dangereux dès qu'un label est lié à des données (`::label="$user.name"`, i18n, SDUI).
-  - **Correctif :** texte par défaut et HTML en opt-in (ou DOMPurify).
-- **H4. Captcha.**
-  - **Script tiers :** `captcha.ts:78` charge `cdn.jsdelivr.net/gh/altcha-org/altcha/dist/altcha.min.js`, **non versionné et sans SRI**, alors que `altcha-widget.js` est déjà livré dans le paquet.
-  - **Cycle de vie cassé :** `captcha.ts:70` fait `return` avant `super.connectedCallback()` en HTTP, ce qui casse le cycle Lit.
-
-### Données / runtime
-- **H5. Collision d'identifiants de publisher.**
-  - **Où :** `mixins/Subscriber.ts:75,187,356`.
-  - **Problème :** `instanceCounter` est statique par classe issue du mixin (~20 classes) et incrémenté à chaque connexion. Deux composants de types différents peuvent donc partager `__subscriber__1`.
-- **H6. Une restauration localStorage asynchrone écrase une valeur fraîche.**
-  - **Où :** `PublisherProxy.ts:658-664`.
-  - **Problème :** un cache qui peut dater de 12 h remplace un `set()` fait pendant la décompression.
-- **H7. Le polling de `Fetcher` se duplique.**
-  - **Où :** `Fetcher.ts:220-259`.
-  - **Problème :** pas de `clearTimeout` avant de replanifier. Chaque `invalidate`, chaque changement d'endpoint ou de langue ajoute une chaîne de requêtes.
-- **H8. `@get`/`@post` relancent fetch et polling après le disconnect.**
-  - **Où :** `decorators/api.ts:86-113,601-608`.
-  - **Problème :** le rAF du runner n'est jamais annulé. Le polling continue sur un élément détaché.
-- **H9. `blockUntilDone` peut rester bloqué indéfiniment.**
-  - **Où :** `api.ts:377-411`.
-  - **Problème :** le drapeau `"loading"` n'est pas remis à zéro en cas d'exception, ni par `localGet`. Il faut un `try/finally`.
-- **H10. `PublisherProxy.delete()` ne nettoie rien.**
-  - **Où :** `PublisherProxy.ts:117`.
-  - **Problème :** `for…in` sur `Map.keys()` ne fait aucune itération. Les sous-proxies et leurs listeners fuient, notamment dans `input-autocomplete`.
-- **H11. Lazyload cassé après un déplacement dans le DOM.**
-  - **Où :** `Fetcher.ts:264-375`.
-  - **Problème :** `isFirstLoad=false` au disconnect empêche tout fetch. L'IntersectionObserver devient orphelin et le placeholder est dupliqué.
-
-### Packaging
-- **H12. `package.json#exports` incohérent.**
-  - **Entrées aberrantes :** 6 entrées `./undefined/docs-*`, à cause d'un bug de `scripts/pre-build.mjs` sur les fichiers `src/docs/components/*`.
-  - **Entrées périmées :** `./prism/index` est encore présent alors que prism a été remplacé par shiki (le package.json commité n'est pas régénéré).
-  - **Cible inexistante :** l'export `./rollup-plugin-*` pointe vers un dossier `rollup/` qui n'existe pas.
-- **H13. `lit` n'est qu'en devDependencies, alors que les exports pointent vers des sources `.ts` qui importent `lit`.**
-  - **Pourquoi ça marche aujourd'hui :** par accident, via `@lit-labs/motion`. Risque d'échec avec pnpm strict ou de `lit` en double.
-  - **Correctif :** `peerDependencies: { lit: "^3" }`.
-  - **Dans le même fichier :** `@types/jest` est en `dependencies` sans raison.
-
-## 🟡 Moyenne
-
-### Sécurité et outillage de dev
-- **M1. Un `Authorization: Bearer` est envoyé à n'importe quel hôte dès que l'endpoint est absolu** (`api.ts:580,593`). Endpoint lié à des données, pagination `next`, SDUI… Il faut restreindre à l'origine de `serviceURL`.
-- **M2. Identifiants en attributs DOM** (`token`, `password` : `HTML.ts:146-157`) et cache d'API en clair dans localStorage, sans purge à la déconnexion.
-- **M3. Serveur de dev exposé.** `yarn dev` écoute sur `0.0.0.0` avec Vite 7.1.5, qui a des CVE de lecture de fichiers arbitraires (`server.fs.deny` contournable, WebSocket). L'endpoint open-in-editor est aussi déclenchable depuis le LAN ou par un GET cross-site (nuisance, pas d'exécution de commande). **Montée de version de vite/vitest recommandée.** Les autres vulnérabilités `yarn audit` (tailwind 3, postcss, nanoid…) ne touchent que la toolchain.
-- **M4. Doc : le service worker du mock API ne s'enregistre jamais.** ✅
-  - **Où :** `scripts/docs-mock-api-vite-plugin.ts:62`.
-  - **Problème :** `startsWith("/docs-mock-api")` capture aussi `/docs-mock-api-sw.js` et renvoie un 404 JSON. Erreur visible dans la console sur toutes les pages de la doc.
-  - **Correctif :** tester `"/docs-mock-api/"` (avec le slash final).
-
-### Accessibilité
-- **M5. Modale.**
-  - **Pas vraiment modale :** `show()` est utilisé au lieu de `showModal()`. Pas de focus trap, pas d'`aria-labelledby`, focus non restauré à la fermeture.
-  - **Échap perdu :** la touche Échap ne marche plus après un ré-attachement (listener ajouté dans `firstUpdated`, retiré au disconnect).
-- **M6. Composants sans sémantique ARIA :**
-  - `table` : pas de rôles table/row/cell ;
-  - `tooltip` : pas de `role="tooltip"` ni d'`aria-describedby` ;
-  - `pop`/`menu` : pas d'`aria-expanded`/`haspopup` ;
-  - `input-autocomplete` : pas de rôles combobox/listbox.
-
-### Bugs
-- **M7. Bugs de logique :**
-  - `propertyMap` écrase la clé partagée de la boucle (`PublisherProxy.ts:195`) ;
-  - `PublisherManager.getInstance(id)` lève toujours une exception (code mort) ;
-  - courses sur `lastResult` partagé (`api.ts:460,503,544`, `Fetcher.ts:204`) ;
-  - `@handle` multi-clés appelé N fois avec des valeurs périmées (`onAssign.ts:446`) ;
-  - `button.ts:657` : `target=_blank` sans `rel=noopener` ;
-  - SDUI ajoute un message-subscriber en double à chaque mise à jour (`sdui.ts:227`).
-- **M8. Gestion d'erreurs :**
-  - aucun `AbortController` ;
-  - `res.ok` n'est jamais vérifié (un 4xx/5xx est publié comme une donnée) ;
-  - `auth()` n'a pas de `try` ;
-  - une erreur transitoire arrête le polling de `@get` ;
-  - `catch {}` silencieux dans `Fetcher.ts:202`.
-- **M9. Fuites de listeners et d'observers :**
-  - `FormElement` : `keydown` ajouté à chaque connexion ;
-  - `Subscriber` : IntersectionObserver de lazyRendering et listeners de debug jamais retirés ;
-  - `fetchersInError` et `PublisherProxy.instances` jamais purgés ;
-  - `SafariScrollGuard` observe sans jamais arrêter et annule tout saut vers le haut de 200 px ou plus (Début, `#top`).
-
-## 🟢 Basse / dette
-
-### Paquet npm (12 Mo décompressés, 480 fichiers)
-- **Contenu en double ou inutile :** `public/` + `dist/` (img 2 Mo et fonts 1,3 Mo, chacun en double), bundles à la racine **et** dans `dist/`, `.tmp-cem/`, `src/docs`, specs, service worker de la doc.
-- **Cause :** pas de champ `files`, et `.npmignore` remplace `.gitignore`.
-- **Correctif :** ajouter `"files"`.
-
-### Génération et fichiers générés
-- **`src/tsconfig.json` :** 433 chemins absolus `/sites/concorde/…` (chemin du conteneur), générés et commités. Ils sont faux sur l'hôte, publiés sur npm et produisent un diff à chaque build. Il faut des chemins relatifs.
-- **Artefacts commités :** `public/docs-mock-api-sw.js(.map)`, `src/tsconfig.tsbuildinfo`, `src/tag-list.json`.
-- **Couplage au build :** `vite.config.mts` écrit `build-infos.json` à chaque chargement de config (y compris pour les tests).
-
-### Outillage et CI
-- **Lint :** ni lint ni formatage automatique. `PublisherProxy.ts` est entièrement sous `eslint-disable` (66 `any`).
-- **CI :** la CI ne lance ni `tsc` ni `yarn build`. Les régressions de build ou d'exports passent donc inaperçues (cf. H12).
-- **Dépendances en retard :** vite 7.1→7.3 (correctifs sécurité), vitest 3.2.4→3.2.7, `baseline-browser-mapping` (avertissement à chaque lancement), `@lit-labs/*` (mineures).
-
-### Divers
-- `api.ts:603` : la regex `[^(https?:)]` est une classe de caractères.
-- `localGet` : comparaisons `===` nombre/chaîne.
-- `derive.ts:103` : détection de cycles indexée par la racine.
-- `HTML.ts:278` : `onerror` résout à `true`.
-
-### Doc (port 3010)
-- **Certificat :** le certificat `basicSsl` est refusé par le navigateur. Pour l'audit, la doc a été servie en HTTP via une config temporaire.
-- **Avertissements console :** « Erreur lors de la récupération des variables CSS » (`theme.ts:157`) et Lit en mode dev.
-- **Mise en page :** débordement horizontal en largeur étroite sur la page Modal (blocs de code).
-
----
-
-## Revue du code des composants UI (`src/core/components/ui`)
-
-Environ 9 600 lignes, 47 fichiers de styles, 74 custom elements au total.
-
-### Ce qui est bien
-- **Thème par variables CSS cohérent :** préfixe `--sc-*`, fallbacks systématiques, `--sc-btn-*` surchargeable. `type` / `variant` / `size` / `shape` sont alignés entre button, badge, alert et le reste. Le rendu dans la doc est propre et homogène.
-- **Briques partagées :** `fontSize`, `formControl`, `label`, `description`.
-- **i18n des libellés ARIA :** `_i18n/ui-aria-labels.ts`, 6 langues.
-- **Pop moderne :** `pop` utilise l'API Popover (avec fallback) et un positionnement maison robuste aux ancêtres transformés. `toast-item` gère `role` / `aria-live`.
-- **Composition par mixins :** `FormElement`, `FormInput`, `FormCheckable`. Brancher un champ sur un `formDataProvider` est trivial.
-
-### Ce qui coince
-1. **API trop large et logique dupliquée**
-   - `sonic-button` cumule bouton, lien, toggle (`FormCheckable`), champ de formulaire (`FormElement`), navigation (`pushState`, `goBack`, `autoActive`), reset de formulaire, auto-repeat et loader. Il expose aussi la mise en page flex en props (`direction`, `alignItems`, `justify`, `minWidth`, injectées en style inline).
-   - `label` / `description` / `hasSlotOrProps` sont réimplémentés dans 6 composants, et `select.ts:178` le note lui-même en TODO. `select` redéfinit `label` / `description` avec une logique `forceAutoFill` propre à lui.
-   - **Piste :** un contrôleur Lit (`FormFieldController`) ou un composant `sonic-field` partagé.
-2. **Pas d'intégration aux formulaires natifs**
-   - Aucun composant n'utilise `ElementInternals` / `formAssociated` (`button.ts:531` le mentionne en TODO).
-   - Vérifié dans le navigateur : dans un `<form>`, `new FormData(form)` est vide et `sonic-button` ne déclenche pas `submit`.
-   - Tout passe par les data providers. C'est un choix, mais il ferme la porte aux formulaires classiques, à l'autofill navigateur et à `:invalid`.
-3. **Accessibilité structurelle**
-   - **Lien-bouton :** `sonic-button` avec `href` rend un `<button>` dans un `<a>` (HTML invalide, **2 arrêts de tabulation** : vérifié, tabIndex 0 sur les deux).
-   - **Description non reliée :** `description` n'est pas reliée au champ (`aria-describedby` absent partout), et `error` ne pose pas `aria-invalid`.
-   - **Attribut `data-aria-label` :** c'est un contournement pour passer `aria-label`.
-   - **Disabled :** opacité 0.3 avec `pointer-events: none`.
-   - **Modale :** voir M5. **Table, menu, pop, autocomplete :** voir M6.
-4. **Contrastes insuffisants (thème clair de la doc, ratios mesurés)**
-
-   | Bouton | Ratio | Constat |
-   |---|---|---|
-   | `success` | 2.5:1 | sous AA |
-   | `info` | 3.6:1 | sous AA |
-   | `warning outline` | 2.2:1 | sous AA |
-   | `danger` | 4.8:1 | limite |
-
-   Le hover (`brightness(0.98)`) est presque invisible.
-5. **`<select>`**
-   - **Options lues une seule fois :** les `<option>` du light DOM sont lues une fois dans `connectedCallback`. Pas de `MutationObserver`, donc les options ajoutées ensuite sont ignorées.
-   - **`<slot>` dans `<select>` :** le parseur HTML ne l'autorise pas.
-   - **Sélection multiple :** `multiple` n'a qu'une `value` de type string.
-6. **Petits défauts récurrents**
-   - **`!important` :** 22 fichiers en utilisent.
-   - **Code commenté :** blocs entiers, comme `input.ts:179-203`.
-   - **Doublons :** `part="input"` en double (`input.ts:232,234`), `connectedCallback` vide (`button.ts:596`).
-   - **Mélange de langues :** commentaires FR/EN, doc FR, libellés EN.
-7. **Tests UI quasi absents**
-   - Un seul spec sur ~45 composants UI (`alert.spec.ts`). Les 31 fichiers de tests couvrent surtout le cœur, SDUI et les décorateurs.
-   - Rien ne protège le rendu, le clavier ou l'ARIA des composants.
-   - **Piste :** `@web/test-runner` ou vitest browser mode, avec `axe-core`.
-
----
-
-## Plan d'action proposé
-
-1. **Sécurité (rapide) :**
-   - C1 : origine postMessage + texte brut ;
-   - H4 : altcha local versionné ;
-   - M1 : Authorization limité à l'origine ;
-   - M3 : monter vite/vitest, `--host` en option.
-2. **Bugs bloquants :** C2 (relance 498), C3 (`hasOwn`), H10 (`delete`), H7/H8 (timers), H9 (`finally`), M4 (une ligne).
-3. **Défaut XSS :** H1/H2/H3, soit texte par défaut et HTML en opt-in, soit DOMPurify. C'est un changement cassant, à prévoir pour une version majeure (6.0), avec une note de migration.
-4. **Packaging :**
-   - corriger pre-build (`undefined`, chemins relatifs) ;
-   - `files` + `peerDependencies.lit` ;
-   - supprimer l'export rollup ;
-   - ajouter `tsc` + `build` à la CI.
-5. **Dette :** ESLint (règles `no-explicit-any` en warn, `lit-a11y`), ARIA des composants interactifs, purge des fuites listées en M9.

package/PLAN-AMELIORATION.md

@@ -1,220 +0,0 @@
-# Plan d'amélioration — composants UI Concorde
-
-Base : lecture intégrale de `src/core/components/ui` (~9 600 lignes, 45 composants) et des mixins `FormElement`, `FormInput`, `FormCheckable`, `TemplatesContainer`, plus des vérifications dans la doc lancée en local. Les constats sécurité et couche données sont dans [AUDIT.md](AUDIT.md) ; ce plan les reprend seulement là où ils touchent l'UI.
-
-Légende :
-- **Taille :** S < ½ j, M ≈ 1–3 j, L ≈ 1 semaine+
-- **🔁 :** changement cassant, réservé à la 6.0
-- **✅ :** constat vérifié dans le navigateur
-
-## Diagnostic en une page
-
-**Ce qui marche et qu'il faut garder**
-- Les tokens `--sc-*` avec fallback.
-- Le vocabulaire commun `type` / `variant` / `size` / `shape` / `status`.
-- La mécanique Popover API et le positionnement de `pop` et `tooltip`.
-- `toast-item` : pause au survol et au focus, rôles ARIA.
-- `alert` et `loader` : `announce` opt-in, texte rendu en texte. **Ce sont les composants modèles :** les plus récents sont les plus propres, et ce plan consiste en grande partie à aligner les anciens sur eux.
-
-**Les problèmes de fond**
-1. **Pas de socle « champ de formulaire ».**
-   - Label, description, détection de slots et validation sont recopiés dans `input`, `select`, `textarea`, `checkbox`, `group` et `legend`. Chaque copie a ses variantes, par exemple `forceAutoFill` redéfini dans `select`.
-   - Le pattern `forceAutoFill` (l'attribut l'emporte sur la propriété) est surprenant : `el.label = "x"` est ignoré si l'attribut `label` existe.
-2. **Pas d'intégration aux formulaires natifs.** ✅ Il n'y a aucun `ElementInternals` : `FormData` reste vide et `sonic-button` ne soumet pas un `<form>`.
-3. **Sémantique ARIA absente pour les composants composites.**
-   - **Bouton-lien :** `<button>` dans `<a>`, donc 2 arrêts de tabulation. ✅
-   - **Radio :** un arrêt de tabulation par radio, pas de navigation aux flèches, pas de `radiogroup`. ✅
-   - **Switch :** pas de `role="switch"`. ✅
-   - **Tooltip :** pas de `aria-describedby`. ✅
-   - **Autres :** menu, table, pop et autocomplete sans rôles ; la modale ouvre en non modal.
-4. **HTML injecté par défaut.** 37 `unsafeHTML` : labels, descriptions, toasts, modale, divider, card-header, legend.
-5. **Les composants modifient le DOM de l'auteur.**
-   - `menu` écrit `size`, `align` et `shape` sur ses enfants.
-   - `group` écrit des variables d'arrondi sur ses enfants.
-   - `menu-item` force `variant` et `shape` au connect.
-   - Effets de bord à l'import : `_css/scroll.ts` installe `SafariScrollGuard` globalement, `toast.ts` installe un listener `message`.
-6. **Couplage fort à la couche données.**
-   - `Subscriber` est utilisé là où ce n'est pas nécessaire (`fieldset`, `modal`, `table-tr`, les helpers).
-   - Les comportements passent par des chemins magiques (`formDataProvider + "/" + name + "/_available_values_"`).
-   - Des `setTimeout(…, 1)` servent à ordonner les mises à jour (`FormCheckable`).
-7. **Quasi aucun test UI.** Un seul spec (`alert`) sur 45 composants.
-
----
-
-## Phase 0 — Garde-fous (avant de toucher au code)
-
-Objectif : pouvoir refactorer sans régression. **Rien d'autre ne commence avant.**
-
-| # | Action | Taille |
-|---|---|---|
-| 0.1 | **Tests en vrai navigateur :** vitest browser mode avec Playwright (Chromium, plus Firefox et WebKit en CI). jsdom ne gère ni Popover, ni `<dialog>`, ni le layout. | M |
-| 0.2 | **Tests de caractérisation** des comportements actuels, sur les 12 composants les plus utilisés : button, input, select, checkbox, radio, switch, textarea, modal, pop, menu, toast, tooltip. Rendu, événements `change`, synchronisation avec le `formDataProvider`. Ils figent l'existant et servent de filet. | L |
-| 0.3 | **`axe-core`** dans les tests, sur chaque page de démo. Rapport d'abord ; le build devient bloquant en phase 3. | S |
-| 0.4 | **ESLint :** `typescript-eslint`, `eslint-plugin-lit`, `eslint-plugin-lit-a11y`, `eslint-plugin-wc`, plus Prettier. Démarrer en `warn`, puis passer règle par règle en `error`. | S |
-| 0.5 | **CI :** ajouter `tsc`, `yarn build`, lint et tests navigateur au job GitLab. Aujourd'hui seul vitest jsdom tourne. | S |
-| 0.6 | **Monter vite et vitest** (CVE du serveur de dev, cf. AUDIT M3). | S |
-
----
-
-## Phase 1 — Correctifs rapides, sans casse (5.1.x)
-
-Corrections ciblées, une PR chacune, avec un test qui reproduit le bug.
-
-| # | Composant | Problème → correctif | Taille |
-|---|---|---|---|
-| 1.1 | `textarea` | `${this.value}` dans `<textarea>` provoque une erreur Lit en dev ✅ (« Expressions are not supported inside textarea »). Garder seulement `.value`. Corriger aussi `placeholder` toujours posé (`""`) avec `ifDefined`. | S |
-| 1.2 | `checkbox` | `</label>` fermé deux fois dans le template. `"indeterminate"` n'est pas transmis à `input.indeterminate`, donc les lecteurs d'écran ne voient pas l'état mixte : ajouter `.indeterminate=${…}`. | S |
-| 1.3 | `input` | `part="input"` en double ; bloc commenté (l.179-203) à supprimer. | S |
-| 1.4 | `password-helper` | `v.length > minChars` doit devenir `>=` (« 8 caractères » refuse 8 caractères). La liste doit être annoncée (`aria-live="polite"`). | S |
-| 1.5 | `image` | Le `onload` n'est branché qu'en `firstUpdated`. Une image déjà en cache ne reçoit jamais `.loaded` et reste invisible avec `transition`. Tester aussi `img.complete`. | S |
-| 1.6 | `modal` | `effect="fade"` est déclaré mais pas implémenté (seul `slide` est animé). Le listener `Escape` est perdu après un ré-attachement : le déplacer dans `connectedCallback`. `show()` est `private` alors que la doc dit de l'appeler : le rendre public. `Modal.modals.splice(indexOf(this))` retire le dernier élément si l'index vaut -1 : ajouter une garde. | S |
-| 1.7 | `modal-actions` | `hideModal` n'est branché que sur les boutons présents au premier rendu. Le remplacer par un listener délégué `click` sur le slot. | S |
-| 1.8 | `button` | Ajouter `rel="noopener noreferrer"` si `target=_blank` (comme `link`). Supprimer le `connectedCallback` vide. | S |
-| 1.9 | `menu` | Le bouton « plus » n'a que l'icône, sans libellé : ajouter `aria-label` via `uiAriaLabels`. | S |
-| 1.10 | `toast` | Ne plus faire d'effet de bord dans `render()` (`handleExistingToastDelegation`). Créer la zone live au premier `add` et non au premier toast : une région `aria-live` doit exister **avant** son contenu pour être annoncée. | S |
-| 1.11 | `FormElement` | Le listener `keydown` de navigation clavier est ajouté à chaque connexion : le stocker et le retirer. Nettoyer `keyboardLoops` au disconnect. | S |
-| 1.12 | `select` | Retirer le `<slot>` placé dans `<select>` (interdit par le parseur HTML). Observer les `<option>` du light DOM (`MutationObserver`) au lieu de les lire une seule fois au connect. | M |
-| 1.13 | `same-value-helper` / `password-helper` | Libellés FR codés en dur : passer par `_i18n`. Les deux classes s'appellent `SonicComponent` : les renommer. | S |
-| 1.14 | Sécurité UI | Vérification d'origine du postMessage du toast (AUDIT C1). Altcha en local et versionné (AUDIT H4). | S |
-
----
-
-## Phase 2 — Socle des champs de formulaire (5.2, compatible)
-
-C'est le chantier qui rapporte le plus : il supprime la duplication et règle d'un coup l'ARIA des formulaires.
-
-### 2.1 `FormFieldController` (contrôleur Lit) — L
-Il remplace les 6 copies de `label` / `description` / `hasSlotOrProps`. Il fournit :
-- les ids stables `labelId`, `descriptionId`, `errorId` (compteur global) ;
-- la détection des slots `label`, `description`, `prefix`, `suffix` par `slotchange` uniquement, plus de recalcul à chaque `willUpdate` ;
-- les attributs ARIA à poser sur le contrôle interne : `aria-labelledby`, `aria-describedby` (description et erreur), `aria-invalid` (depuis `error` ou `status="error"`), `aria-required` ;
-- le rendu partagé du label, de la description et du message d'erreur, avec les styles `label` / `description` existants.
-
-Migration composant par composant : `input`, puis `textarea`, `select`, `checkbox` / `radio` / `switch`, `group`, `input-autocomplete`. Les tests de caractérisation de la phase 0 garantissent un rendu identique.
-
-### 2.2 Intégration native avec `ElementInternals` — L
-- **Activation :** `static formAssociated = true` dans `FormElement`.
-- **Valeur :** `setFormValue()` à chaque changement de valeur. `FormData` et la soumission native fonctionnent alors, et le data provider continue d'être alimenté en parallèle.
-- **Validation :** `setValidity()` alimenté par la validité du contrôle interne, ce qui active `:invalid` / `:user-invalid` sur l'hôte.
-- **Cycle de vie :** `formResetCallback` et `formDisabledCallback`. Ce dernier règle le fait que `<sonic-fieldset disabled>` ne désactive pas les champs slottés, puisque leurs inputs sont dans un autre shadow root.
-- **Sémantique :** `sonic-button[type=submit|reset]` passe par `internals.form.requestSubmit()` / `reset()`, et `internals.role` / `ariaLabel` au lieu des attributs `data-aria-*`.
-- **Compatibilité :** garder `data-aria-label` comme alias déprécié.
-
-### 2.3 Assainir `FormCheckable` — M
-- **Ordonnancement :** remplacer les `setTimeout(…, 1)` par un ordonnancement explicite (`updateComplete` ou microtask unique).
-- **« Tout cocher » :** isoler la logique (`_available_values_`) dans un contrôleur `CheckAllController` lisible et testé.
-- **`checked` :** le typer en `boolean` plus `indeterminate: boolean` séparé (alias de l'ancien tri-état conservé en 5.x).
-
-### 2.4 Radio et switch accessibles — M
-- **`sonic-radio-group`** (nouveau, optionnel) : `role="radiogroup"`, roving tabindex, flèches haut/bas/gauche/droite, `aria-labelledby` vers sa légende. Les radios hors groupe continuent de fonctionner comme aujourd'hui.
-- **`sonic-switch`** : `role="switch"` sur l'input.
-
-### 2.5 `fieldset` / `legend` — S
-- **Problème :** le `<legend>` est dans le shadow root de `sonic-legend`, pas enfant du `<fieldset>`, donc le groupe n'a pas de nom accessible.
-- **Correctif :** rendre `<legend>` directement dans `sonic-fieldset`, ou poser `role="group"` et `aria-labelledby`.
-- **Nettoyage :** retirer `Subscriber` de `fieldset` (inutile).
-
----
-
-## Phase 3 — Accessibilité des composants composites (5.3)
-
-Critère de sortie : **axe-core sans violation** sur toutes les démos, plus une checklist clavier par composant, documentée dans chaque `.md`.
-
-| # | Composant | Travail | Taille |
-|---|---|---|---|
-| 3.1 | `button` (lien) | Avec `href`, rendre **un seul** `<a>` stylé comme bouton, sans `<button>` imbriqué. Ajouter `aria-current="page"` quand `active` vient de `autoActive` ; même chose dans `link`. ✅ | M |
-| 3.2 | `button` (toggle) | Exposer `aria-pressed` quand le bouton est utilisé comme toggle (`name` / `FormCheckable`). | S |
-| 3.3 | `modal` | `showModal()` au lieu de `show()` : focus trap natif, `inert` automatique, `::backdrop`. Il faut adapter le backdrop maison et les z-index (top layer). Ajouter `aria-labelledby` vers `sonic-modal-title` et rendre le focus au déclencheur à la fermeture. | M |
-| 3.4 | `pop` | Sur le déclencheur : `aria-expanded`, `aria-haspopup`, `aria-controls`. Focus dans le contenu à l'ouverture si celle-ci vient du clavier. | M |
-| 3.5 | `menu` / `menu-item` | Deux modes explicites : navigation (`<nav>` + liste, pas de rôle menu) ou menu d'actions (`role="menu"` / `menuitem`, roving tabindex, flèches, Home/End, saisie rapide). Aujourd'hui le composant ne choisit pas. | L |
-| 3.6 | `input-autocomplete` | Pattern combobox ARIA 1.2 : `role="combobox"`, `aria-expanded`, `aria-controls` → `listbox`, `aria-activedescendant` (le focus reste dans l'input au lieu de passer sur les items), et un `aria-live` « N résultats ». | L |
-| 3.7 | `tooltip` | `role="tooltip"` et `aria-describedby` sur le déclencheur. Fermeture par Escape (WCAG 1.4.13), et le tooltip ne doit pas disparaître quand on survole la bulle. | M |
-| 3.8 | `table` | Rôles `table` / `rowgroup` / `row` / `columnheader` / `cell` posés sur les hôtes via `ElementInternals.role`, et `sonic-caption` relié. | M |
-| 3.9 | `group` | `role="group"` avec `aria-labelledby` vers le label. | S |
-| 3.10 | `progress` | Libellé accessible (`aria-label` / `aria-labelledby` vers le slot). | S |
-| 3.11 | Global | Ajouter `prefers-reduced-motion` aux animations de modal, pop, toast, button loader, switch et checkbox (aujourd'hui seul `tooltip` en tient compte). | S |
-| 3.12 | Global | Un **token de focus** (`--sc-focus-ring`) appliqué partout. Aujourd'hui seuls 4 composants ont un `:focus-visible`, et les styles diffèrent (box-shadow `base-300` sur le bouton, `primary` sur la checkbox). | S |
-| 3.13 | Global | Remplacer l'état désactivé à `opacity: 0.3` + `pointer-events: none` par des couleurs dédiées (`--sc-disabled-*`), lisibles. | S |
-
----
-
-## Phase 4 — Thème et tokens (5.3 / 5.4)
-
-| # | Action | Taille |
-|---|---|---|
-| 4.1 | **Contrastes AA.** Mesuré : `success` 2.5:1, `info` 3.6:1, `warning` outline 2.2:1. Recalculer les couleurs sémantiques des thèmes light et dark pour atteindre 4.5:1 (texte) et 3:1 (bordures, focus). Ajouter un test automatique de contraste sur les paires token / contenu. | M |
-| 4.2 | **Tokens hors `sonic-theme`.** Les tokens ne sont définis que sur `:host` de `sonic-theme` ; un composant en dehors n'a que des fallbacks codés en dur (`#000`, `rgba(0,0,0,.07)`). Fournir aussi une feuille `:root` (`concorde/theme.css`) et réduire les fallbacks en cascade à un seul niveau. | M |
-| 4.3 | **Documenter l'API de tokens.** Lister les variables publiques (`--sc-btn-*`, `--sc-input-*`…) et les distinguer des privées (`--sc-_*`), puis générer la liste dans le Custom Elements Manifest (`@cssprop`). | M |
-| 4.4 | **`Theme.getCssVariables()`.** La fonction parcourt toutes les feuilles du document, ce qui déclenche une erreur sur les feuilles cross-origin (warning visible dans la doc), puis envoie le résultat à **toutes** les iframes avec `"*"`. Il faut limiter à une liste de tokens connue, ne poster qu'aux iframes qui le demandent, avec une origine vérifiée. | S |
-| 4.5 | **Hover visible.** `brightness(0.98)` est imperceptible : passer à `color-mix()` sur `--btn-bg`. | S |
-| 4.6 | **Moins de `!important`** (22 fichiers). Remplacer par des sélecteurs plus spécifiques ou par `@layer`. | M |
-
----
-
-## Phase 5 — Effets de bord, couplage, performances (5.4)
-
-| # | Action | Taille |
-|---|---|---|
-| 5.1 | **Plus d'effets à l'import.** `_css/scroll.ts` appelle `installSafariScrollGuard()` au chargement du module : importer une feuille CSS active un correctif global qui annule les sauts de scroll ≥ 200 px. Il faut un opt-in explicite (`<sonic-theme safari-scroll-guard>` ou import dédié). Même principe pour le listener `message` de `toast`. | S |
-| 5.2 | **Ne plus écrire chez les enfants.** `menu` (size, align, shape, margin), `group` (arrondis) et `menu-item` (variant, shape) modifient le DOM de l'auteur. Passer par l'héritage de variables CSS ou du contexte Lit (`@lit/context`) : par exemple `menu` fournit `size` et `align`, que les items consomment. | M |
-| 5.3 | **Retirer `Subscriber` là où il ne sert pas** : `fieldset`, `modal`, `table-tr`, `password-helper`, `same-value-helper`. Ces composants paient le coût du mixin (observers, lazy rendering) pour rien. | S |
-| 5.4 | **Positionnement sans rAF permanent.** `pop` et `tooltip` recalculent la position à chaque frame tant qu'ils sont ouverts (`getBoundingClientRect` → layout). Passer à CSS Anchor Positioning là où c'est supporté, et sinon à des recalculs sur scroll, resize et `ResizeObserver` uniquement. | M |
-| 5.5 | **Simplifier `input-autocomplete`.** Le composant crée 5 data providers internes, deux `sonic-queue` (dont une cachée pour retrouver la valeur initiale) et plusieurs contournements par `rAF` / `setTimeout`. Le réécrire sur le socle combobox de la phase 3.6 avec un seul store interne. | L |
-| 5.6 | **Icônes.** Les bibliothèques externes sont chargées depuis 4 CDN au runtime (CSP, vie privée, hors ligne) puis injectées en `unsafeHTML`. Permettre l'enregistrement local d'un sprite ou d'un dictionnaire d'icônes, et sanitiser le SVG (pas de `<script>`, pas d'`on*`). Le CDN reste en option. | M |
-| 5.7 | **Ne plus forcer `aria-hidden` sur les icônes.** `sonic-icon` le pose toujours. Ajouter une prop `label` qui le retire et pose `role="img"` + `aria-label`. | S |
-
----
-
-## Phase 6 — API publique 6.0 (🔁 changements cassants)
-
-À regrouper dans une seule version majeure, avec un guide de migration et des avertissements de dépréciation dès la 5.x.
-
-| # | Changement | Pourquoi |
-|---|---|---|
-| 6.1 | **Texte par défaut au lieu de `unsafeHTML`** pour `label`, `description`, toast `text`, options de modale, divider, card-header, legend. HTML seulement via `TemplateResult` ou une prop explicite (`labelHtml`), éventuellement assaini (DOMPurify). | XSS (AUDIT H2/H3) ; c'est déjà le comportement d'`alert` |
-| 6.2 | **Découper `sonic-button`.** Garder bouton / lien / toggle. Sortir la navigation (`pushState`, `goBack`, `autoActive`) dans un contrôleur partagé avec `link`. Sortir `reset` (remplacé par `type="reset"` natif grâce à 2.2) et `autoRepeat` (contrôleur opt-in). | 675 lignes, trop de responsabilités |
-| 6.3 | **Retirer les props de mise en page** (`direction`, `alignItems`, `justify`, `minWidth`) de button et form-actions, remplacées par `::part()` et des variables CSS. Les styles inline empêchent la surcharge depuis l'extérieur. | API plus petite, thémable |
-| 6.4 | **Retirer `forceAutoFill`.** L'attribut ne doit plus l'emporter sur la propriété. | Comportement surprenant, recopié 5 fois |
-| 6.5 | **`checked` en `boolean`** (et `indeterminate` séparé), `data-aria-*` remplacés par les attributs ARIA standards. | Conformité aux attentes HTML |
-| 6.6 | **Événements cohérents.** `input` à chaque frappe, `change` à la validation, comme en natif. Aujourd'hui `handleChange` émet un `change` à chaque frappe, et l'événement n'est ni `bubbles` ni `composed`. Ajouter des événements typés (`sonic-change` avec `detail`). | Interop avec les frameworks |
-| 6.7 | **Supprimer les alias dépréciés** : `Toast.title`, placement de pop avec espace, `data-aria-label`. | Nettoyage |
-
----
-
-## Phase 7 — Documentation et outillage développeur (en continu)
-
-| # | Action | Taille |
-|---|---|---|
-| 7.1 | **JSDoc complète** sur les props, slots, events, `cssprop` et `csspart` : 66 composants sont signalés « annotations insuffisantes » par le générateur du catalogue SDUI. Les rendre obligatoires via une règle de lint sur le CEM. | M |
-| 7.2 | **Table d'API générée** depuis le CEM dans chaque page `.md` (props, events, slots, parts, tokens) au lieu de la maintenir à la main. | M |
-| 7.3 | **Section accessibilité par composant** : interactions clavier, rôles, ce que l'intégrateur doit fournir (ex. `aria-label` pour un bouton icône). | M |
-| 7.4 | **Une seule langue** pour les commentaires et la doc (aujourd'hui mélange FR/EN). Les libellés par défaut passent tous par `_i18n`. | S |
-| 7.5 | **Doc :** corriger le service worker du mock API (AUDIT M4) et le débordement horizontal des blocs de code en mobile. | S |
-
----
-
-## Séquencement proposé
-
-```
-Sprint 1  Phase 0 (garde-fous) + Phase 1 (correctifs rapides)        → 5.1.x
-Sprint 2  2.1 FormFieldController + migration input/textarea/select  → 5.2
-Sprint 3  2.2 ElementInternals + 2.3 FormCheckable + 2.4/2.5         → 5.2
-Sprint 4  Phase 3 : button-lien, modal, pop, tooltip, focus, motion  → 5.3
-Sprint 5  Phase 3 : menu, combobox/autocomplete, table + Phase 4     → 5.3/5.4
-Sprint 6  Phase 5 (effets de bord, couplage, perfs)                  → 5.4
-Sprint 7  Phase 6 (6.0) + guide de migration                         → 6.0
-En continu : Phase 7 (doc) à chaque composant touché
-```
-
-**Pourquoi cet ordre**
-- **Phase 0 en premier :** sans tests navigateur, les phases 2 à 6 sont risquées.
-- **Phase 2 ensuite :** le socle formulaire conditionne l'ARIA des champs (3.x) et la sortie de `reset` / `forceAutoFill` (6.x).
-- **Changements cassants en dernier :** ils sont regroupés en 6.0, et chacun est précédé d'un avertissement de dépréciation en 5.x.
-
-**Définition de « terminé » pour chaque composant touché**
-- Tests navigateur (rendu, clavier, événements, data provider).
-- axe-core sans violation.
-- Contraste AA.
-- JSDoc / CEM complets, section accessibilité dans le `.md`.
-- Aucun effet de bord à l'import.
-- Aucun `unsafeHTML` sans opt-in explicite.

package/PLAN-DOCS-AGENTS.md

@@ -1,80 +0,0 @@
-# Plan d’amélioration — doc Concorde / agents
-
-État : pathnames = sources (`/docs/getting-started/…`) ; composants sans doublon (`/…/button` ↔ `…/button/button.md`). Pas de mapping `_` sections.
-
-Objectif : **une URL = une page**, lisible par humains (SPA) et machines (HTML ou Markdown).
-
----
-
-## Phase 0 — Stabiliser
-
-- [x] Apache : `mod_rewrite`, `mod_headers`, `.htaccess` (SPA + Markdown + 404)
-- [x] Smoke : nav, search (vide + fermeture), deep link, legacy `#…md/…`
-- [ ] Publier `yarn build-docs` → `concorde_doc` et re-vérifier Ora / curl Accept en prod
-
----
-
-## Phase 1 — Décision produit — **fait : option B**
-
-| Option | Statut |
-|--------|--------|
-| A. Garder `/crawl/` | écartée |
-| **B. Fusionner** | **retenue et implémentée** |
-| C. Markdown-first only | partiellement couverte par B (Accept markdown) |
-
----
-
-## Phase 2 — Même URL pour le contenu machine — **fait**
-
-- [x] Build : HTML + MD à `docs/**` et `core/**` (plus sous `/crawl/`)
-- [x] MD public = pathname + `.md` ; SPA `markdownsURL=""` ; Vite sert `/docs|core/**.md` depuis `src/`
-- [x] Hubs à `/hubs/*.html`
-- [x] Apache : Accept → `/$1.md` ; bots → `*.html` ; navigateur → SPA ; 301 `/src/(docs|core)/*.md`
-- [x] Canonical / `llms.txt` / sitemap → pathnames `/docs/…`, `/core/…`
-- [x] Tests `scripts/generate-crawl-docs.test.mjs`
-
-Critère de done local :  
-`/docs/getting-started/start.md` et `Accept: text/markdown` sur le pathname → Markdown ; navigateur → SPA.
-
----
-
-## Phase 3 — Retirer `/crawl/` — **fait (code + artefacts locaux)**
-
-- [x] 301 `/crawl/**` → pathnames équivalents (`.htaccess`)
-- [x] Plus d’arbre `docs/crawl/` (`removeLegacyCrawlDir`)
-- [x] `robots.txt`, homepage agent, `llms*` sans `/crawl/`
-- [x] Smoke sur `concorde-docs.localhost` (MD / bot HTML / 301 crawl / SPA)
-- [x] MD public = `….md` ; Accept → sibling ; 301 `/src/…md` ; sync `concorde_doc`
-- [x] Pretty URLs : sans `_` sections ; composants sans `name/name` ; pas de legacy ; `DirectorySlash Off`
-- [ ] Commit / push `concorde_doc` vers la prod (+ `yarn build-docs` pour index SPA source)
-
----
-
-## Phase 4 — Qualité agent / SEO
-
-| Sujet | Statut |
-|-------|--------|
-| Homepage H1 + 500+ chars | fait |
-| 404 Markdown (+ HTML) | fait |
-| Titre d’onglet = H1 page | à faire |
-| Brand / discoverability Ora | hors code / post-publish |
-
----
-
-## Phase 5 — DX / dette doc (optionnel)
-
-- Intercepter liens `/docs|core/…` + e2e nav/search
-- Liens markdown vers `../../core/utils/*.ts` en prod
-- [x] Contrat d’URL dans skill `concorde-docs` (pathnames, pas `/crawl/`)
-
----
-
-## Ordre restant
-
-```
-3b Smoke localhost + publish concorde_doc
-    ↓
-4 Titres onglet / polish Ora
-    ↓
-5 DX optionnel
-```

package/ai/AGENTS.md

@@ -1,56 +0,0 @@
-# Agents — Concorde
-
-Guide pour les agents IA sur un projet **Concorde** (Lit + DataProvider).
-
-## Skills / rules (après installation)
-
-| Fichier | Rôle |
-|---------|------|
-| `.cursor/skills/concorde/SKILL.md` | Patterns framework |
-| `.cursor/skills/concorde-imports/SKILL.md` | Imports courts |
-| `.cursor/skills/concorde-scope/SKILL.md` | Scope + APIConfiguration |
-| `.cursor/skills/concorde-theme/SKILL.md` | Design tokens sonic-theme |
-| `.cursor/skills/concorde-menu/SKILL.md` | Navigation sonic-menu |
-| `.cursor/skills/concorde-get-set-dp/SKILL.md` | Migration get/set/dp + DataProviderKey statique |
-| `.cursor/rules/concorde.mdc` | Règles Cursor (patterns) |
-| `.aiassistant/rules/concorde.md` | Règles JetBrains AI Assistant |
-
-Installation :
-
-```bash
-node node_modules/@supersoniks/concorde/scripts/ai-init.mjs
-```
-
-Source : `@supersoniks/concorde/ai/`
-
-## Imports dans ce dépôt (lib + doc)
-
-Les chemins courts (`@supersoniks/concorde/list`, `/menu`, `/queue`, …) sont des **exports npm** pour les apps **externes**. Dans le repo Concorde (`src/docs`, `src/core`, démos), utiliser les chemins **réels** :
-
-- Composants : `@supersoniks/concorde/core/components/…` ou import relatif (`../../core/components/functional/list/list`)
-- Décorateurs : `@supersoniks/concorde/core/decorators/Subscriber` (ou `src/decorators.ts` via `@supersoniks/concorde/decorators` si résolu par l’alias Vite racine)
-- `DataProviderKey` : `@supersoniks/concorde/core/utils/dataProviderKey`
-
-Skill **`concorde-imports`** : section « Dans le dépôt Concorde ».
-
-## Conventions impératives
-
-- Toujours **DataProvider**, accès via **`get` / `set`**
-- Pas de **`sonic-fetch`**, pas de **`PublisherManager`**
-- Pas de `@onAssign` — **`@handle`** + `DataProviderKey`
-- Pas de **`@bind`** sur les composants métier — **`@subscribe`** + `DataProviderKey<T, U>` (type + contraintes hôte `${…}`)
-- Formulaires : **`formDataProvider`** + `name` sur `sonic-input`
-- Listes : templates **Lit** (`.items`, `.separator`, `.noItems`, `.skeleton`) — pas de promotion des `<template>` HTML
-- **Scope** (API/forms) ≠ **theme** (couleurs) — skills `concorde-scope` / `concorde-theme`
-
-## Migration get / set / dp
-
-Skill **`concorde-get-set-dp`** : chemins sans placeholder **`${…}`** / **`{$…}`** pour `get` / `set` / `dp` ; chemins JS évalués OK ; clés dynamiques → décorateurs, `dp(idRésolu)`, ou **`sub(clé)`** dans les templates Lit.
-
-## Migration Subscriber / sonic-fetch
-
-Skill **`concorde`** — section **« Piège migration Subscriber → LitElement »** : ne pas laisser des `@property` orphelines après retrait du mixin ; `@get` + `@subscribe` feuille ; `apiConfigKey` en modale ; sync des noms de props pour les `Endpoint` dynamiques.
-
-## Documentation
-
-Fichiers `.md` dans le package : `node_modules/@supersoniks/concorde/src/` (composants, décorateurs, getting-started).

package/ai/cursor/rules/concorde-menu.mdc

@@ -1,15 +0,0 @@
----
-description: Navigation Concorde — sonic-menu, sonic-menu-item, sonic-divider
-globs: **/{layout,sidebar,nav,docs-shell,routes}/**
-alwaysApply: false
----
-
-# Navigation Concorde
-
-1. **`sonic-menu`** + **`sonic-menu-item`** — pas une liste de boutons ghost.
-2. Sections : **`sonic-divider`** (`label`, `align="left"`, `size="sm"`).
-3. Liens internes : `pushstate` + `href` + `autoActive="strict"`.
-
-Référence : `.cursor/skills/concorde-menu/SKILL.md`
-
-Pas de tirets dans les noms de dossiers de routes (générateur Concorde).

package/ai/cursor/rules/concorde-scope.mdc

@@ -1,14 +0,0 @@
----
-description: Scope — inherited API, form, icon defaults (not theme)
-globs: **/*.{ts,tsx,html}
-alwaysApply: false
----
-
-# Scope
-
-Skill **`concorde-scope`**
-
-- `<sonic-scope>` — light DOM, attributes inherited by descendants
-- API: `serviceURL`, `token`, `credentials` → `@get`, list, queue
-- Or: `DataProviderKey<APIConfiguration>` as 2nd arg to `@get`
-- Not for colors/fonts — use **`concorde-theme`**