@takagaki/cortex-decisions-viewer 0.12.47 → 0.12.49

package/dist/build.js

@@ -430,6 +430,9 @@ async function readFleetSources(repoRoot) {
             label: String(s.label ?? ""),
             url: s.url != null ? String(s.url) : undefined,
             lastSync: s.lastSync != null ? String(s.lastSync) : undefined,
+            // 🔴 **時刻と一緒に「誰が測ったか」も通す（#523 決定1）。** これを落とすと、
+            // 画面は run の成功時刻（空振りの run を含む）を「最終同期」として出し続ける
+            lastSyncSource: s.lastSyncSource != null ? String(s.lastSyncSource) : undefined,
             // 取り込み済みの件数。**「同期が走った」と「実際に入った」は別物。**
             // これが無いと、初回全量同期をしていない案件が「接続OK」に見える
             itemCount: typeof s.itemCount === "number" ? s.itemCount : undefined,

package/dist/render.js

@@ -1,6 +1,6 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.UNSETTLED_LIMITS = exports.ALREADY_REGISTERED = exports.LIVE_CONFIRM_LIMITS = exports.CLAUDE_CODE_LINK = void 0;
+exports.STATE_CONFIRMING = exports.UNSETTLED_LIMITS = exports.ALREADY_REGISTERED = exports.LIVE_CONFIRM_LIMITS = exports.CLAUDE_CODE_LINK = void 0;
 exports.renderSite = renderSite;
 exports.renderSiteWithAssets = renderSiteWithAssets;
 exports.viewerAssetSources = viewerAssetSources;
@@ -36,6 +36,9 @@ exports.sanitizeCapabilitiesNow = sanitizeCapabilitiesNow;
 exports.sanitizeGithubOwnersNow = sanitizeGithubOwnersNow;
 exports.splitNeededParts = splitNeededParts;
 exports.ingestedAtOf = ingestedAtOf;
+exports.fleetLastSyncOf = fleetLastSyncOf;
+exports.stateRefKey = stateRefKey;
+exports.registeredRefKeys = registeredRefKeys;
 exports.keyMissingText = keyMissingText;
 exports.isCalendarId = isCalendarId;
 exports.calendarStateRow = calendarStateRow;
@@ -966,7 +969,7 @@ function sanitizeRegisteredNow(v) {
  * 写し忘れても赤くならなかったので、突き合わせは viewer/test/state-vocab-parity.test.mjs。
  */
 const STATE_STATUSES = {
-    reachable: ["ok", "not_in_channel", "missing_scope", "no_token", "unreachable", "unknown", "not_in_space", "no_credentials", "no_consent", "transcripts_api_disabled", "no_access_policy", "speaker_attribution_off", "folder_not_granted"],
+    reachable: ["ok", "not_in_channel", "missing_scope", "no_token", "unreachable", "unknown", "not_in_space", "no_credentials", "admin_approval_pending", "no_consent", "transcripts_api_disabled", "no_access_policy", "speaker_attribution_off", "folder_not_granted"],
     ingested: ["ok", "failed", "skipped"],
     // 案件カレンダーは作れたか（tools #427）。行の描画は #428。ここに無いと、中央が報告した
     // 「作成済み」の行が overlay に届く前に落ちて、画面は永久に「作成中」のまま
@@ -1860,20 +1863,124 @@ function splitNeededParts(text) {
  *
  * @param capId 応答側の能力名（issues / design / materials / meetings）
  * @returns ISO文字列。1件も無ければ ""
+ * @param refs 登録簿にある ref の鍵（`registeredRefKeys`）。**渡されたときだけ篩う**
+ *   ——孤児行（外した接続先の残骸）の `lastOkAt` を「最終同期」として出さないため。
+ *   分からない（null / undefined）ときは篩わない（#523 S1・deriveCapTile と同じ規律）
  */
-function ingestedAtOf(rows, capId) {
+function ingestedAtOf(rows, capId, refs) {
     if (!Array.isArray(rows) || !capId)
         return "";
     let best = "";
     for (const r of rows) {
         if (!r || r.cap !== capId || r.question !== "ingested")
             continue;
+        if (refs && !refs[stateRefKey(capId, r.ref, r.workspace)])
+            continue;
         const at = r.lastOkAt || (r.status === "ok" ? r.at : "");
         if (typeof at === "string" && at > best)
             best = at;
     }
     return best;
 }
+/**
+ * まとめ表（fleet-status.json）の「最終同期」を、画面に出してよい形で取る（#523 決定1）。
+ *
+ * 🔴 **run 由来の時刻は捨てる。** `lastSync` には2つの意味が入っている——
+ * 接続状態ストアの `lastOkAt`（実際に取り込めた時刻・`lastSyncSource === "ingested"`）と、
+ * ワークフローが成功した時刻（`"run"`。鍵が無くて1件も取り込めていない run も
+ * 「成功」で終わる）。後者を「最終同期」として出すと、**登録したのに何も取り込めて
+ * いない案件が「昨日同期できている」と読める**（engine #314 の「最終同期 9/8 18:34」）。
+ *
+ * 🔴 **欄が無い生成物も run 扱い（捨てる）。** この欄より前の engine が作った
+ * fleet-status.json には `lastSyncSource` が無い。「どちらか分からない時刻」を出すのは
+ * 嘘をつきうる側なので、出さない方へ倒す（決定1の趣旨）。
+ *
+ * **クロージャを持たない純関数に保つこと**（`.toString()` でクライアントへ渡す）。
+ */
+function fleetLastSyncOf(internal) {
+    if (!internal || typeof internal !== "object")
+        return "";
+    if (internal.lastSyncSource !== "ingested")
+        return "";
+    return typeof internal.lastSync === "string" ? internal.lastSync : "";
+}
+/**
+ * 接続状態ストアの行の `ref` を、**登録簿との突き合わせ鍵**に畳む（#523 S1・設計v2 §2 の表）。
+ *
+ * 🔴 **能力ごとに鍵が違う。** `registeredRefKeys` と**必ず同じ畳み方**にすること
+ * ——片方だけ変えると、登録してある接続先の行が「登録簿に無い」と判定され、
+ * **実測が届いているのに画面が黙る**（いま直そうとしている嘘の裏返し）。
+ *   - issues … `issuesRefOf`（ドメイン小文字 / キー大文字）。設定ファイルの値は人が
+ *     書いたもので大小が揃っていない
+ *   - materials / design … folderId / fileKey の**生値**（どちらも大小を区別する不透明ID）
+ *   - chat … ワークスペース + チャンネルID（IDはワークスペースの中でしか一意でない。
+ *     `overlayStateOnFleet` と同じ鍵）
+ *   - google-chat / dev … ref の生値（ワークスペースを持たない）
+ *
+ * **クロージャを持たない純関数に保つこと**（`.toString()` でクライアントへ渡す。
+ * `issuesRefOf` はこれより**前**に流し込んである）。
+ */
+function stateRefKey(capId, ref, workspace) {
+    var s = String(ref == null ? "" : ref);
+    if (!s)
+        return "";
+    if (capId === "issues") {
+        var at = s.indexOf("/");
+        if (at < 0)
+            return "";
+        return issuesRefOf(s.slice(0, at), s.slice(at + 1));
+    }
+    if (capId === "chat")
+        return String(workspace == null ? "" : workspace) + "\t" + s;
+    return s;
+}
+/**
+ * 登録簿（`registeredNow` の1能力分）から、突き合わせ鍵の集合を作る（#523 S1）。
+ *
+ * 🔴 **チャットは鍵を2本入れる。** 正式な鍵は `ワークスペース + ref` だが、ストアの行が
+ * ワークスペースを持たない場合は厳密な鍵を組めない。そこで `"" + \t + ref` も入れて
+ * **「分からないものは落とさない」**側へ倒す（篩い過ぎ＝画面が黙る、が一番重い事故）。
+ * 逆に、登録されていないワークスペースの同IDは落ちる（設計どおり）。
+ *
+ * @param regKey `registeredNow` のキー（chat / google-chat / dev / design / materials / issues）
+ * @param rows その能力の登録行。配列でなければ null（＝分からない。篩わない）
+ *
+ * **クロージャを持たない純関数に保つこと**（`.toString()` でクライアントへ渡す）。
+ */
+function registeredRefKeys(regKey, rows) {
+    if (!Array.isArray(rows))
+        return null;
+    var out = {};
+    for (var i = 0; i < rows.length; i++) {
+        var r = rows[i];
+        if (!r || typeof r !== "object")
+            continue;
+        if (regKey === "issues") {
+            if (r.domain && r.projectKey)
+                out[issuesRefOf(r.domain, r.projectKey)] = true;
+            continue;
+        }
+        if (regKey === "design") {
+            if (r.key)
+                out[String(r.key)] = true;
+            continue;
+        }
+        if (regKey === "materials") {
+            if (r.id)
+                out[String(r.id)] = true;
+            continue;
+        }
+        if (!r.ref)
+            continue;
+        if (regKey === "chat") {
+            out[String(r.workspace == null ? "" : r.workspace) + "\t" + String(r.ref)] = true;
+            out["\t" + String(r.ref)] = true;
+            continue;
+        }
+        out[String(r.ref)] = true;
+    }
+    return out;
+}
 /**
  * タイルと接続グラフの導出に要る、能力ごとの材料（0.12.0・#231 / #235 / #227）。
  *
@@ -1884,24 +1991,51 @@ function ingestedAtOf(rows, capId) {
  * - `noFact`   … 規則4（登録はあるが実績が無い）の文言。**能力ごとに待っているものが違う**
  *   ので1文に丸めない。会議・共有資料は中央 Apps Script の取り込み待ち（＝まだ使っていない）、
  *   課題管理・デザインは夜間同期待ち、チャット・開発は実測待ち
+ * - `alsoBad`  … **実績の問いとは別に、悪ければ⚠️にする問い**（#523 S1・決定3）。
+ *   取り込む4能力は `reachable`（届くか）も見る——Drive のフォルダの共有が外れると
+ *   `reachable=unreachable` になるが `ingested` の行は**書かれない**（測れていないので）ので、
+ *   `ingested` だけを見ていると「接続OK（最終同期 ◯日前）」と言い続ける。
+ *   **「悪い方」で判定する**（どちらかが悪ければ⚠️）。実績（規則3）は `question` の側だけで数える
+ *   ——reachable が ok でも、取り込みが1件も無ければ「まだ取り込みがありません」が事実
+ * - `adminOnNoToken` … `reachable=no_token` を「読めていません」と言わない能力（決定3）。
+ *   鍵の呼び名があれば「◯が未登録です」（画面の鍵カードと同じ語）、無ければ
+ *   「管理者の設定が必要です」——Drive の資格情報は艦隊側にあり、案件の人には打つ手が無い。
+ *   **チャット・開発には付けない**（あちらの `no_token` は行バッジ側が
+ *   `DS_GATE_NO_TOKEN` で経路ごとに言い換えており、タイルの語を変えると二重管理になる）
+ * - `refKeyed` … 登録簿（`registeredNow`）との突き合わせで孤児行を落とせる能力（#523 S1・決定2）。
+ *   会議は接続先の登録簿を持たない（ref は固定の `transcripts`）ので篩わない
  *
  * **6能力すべてを載せること。** ここに無い能力は導出そのものが働かず、規則5
  * （fleet へのフォールバック）に落ちる＝正本化の対象から静かに外れる。
  */
 const TILE_CAPS = {
-    "課題管理": { id: "issues", question: "ingested", noFact: "登録済み（まだ取り込みがありません）", keyLabel: "APIキー" },
-    "会議": { id: "meetings", question: "ingested", noFact: "未使用（まだ取り込みがありません）", keyLabel: "" },
-    "共有資料": { id: "materials", question: "ingested", noFact: "未使用（まだ取り込みがありません）", keyLabel: "" },
-    "デザイン": { id: "design", question: "ingested", noFact: "登録済み（まだ取り込みがありません）", keyLabel: "トークン" },
-    "チャット": { id: "chat", question: "reachable", noFact: "登録済み（接続は未確認です）", keyLabel: "" },
+    "課題管理": { id: "issues", question: "ingested", noFact: "登録済み（まだ取り込みがありません）", keyLabel: "APIキー", alsoBad: ["reachable"], adminOnNoToken: true, refKeyed: true },
+    "会議": { id: "meetings", question: "ingested", noFact: "未使用（まだ取り込みがありません）", keyLabel: "", alsoBad: ["reachable"], adminOnNoToken: true },
+    "共有資料": { id: "materials", question: "ingested", noFact: "未使用（まだ取り込みがありません）", keyLabel: "", alsoBad: ["reachable"], adminOnNoToken: true, refKeyed: true },
+    "デザイン": { id: "design", question: "ingested", noFact: "登録済み（まだ取り込みがありません）", keyLabel: "トークン", alsoBad: ["reachable"], adminOnNoToken: true, refKeyed: true },
+    "チャット": { id: "chat", question: "reachable", noFact: "登録済み（接続は未確認です）", keyLabel: "", refKeyed: true },
     // チャットの2枚目のアダプタ（#153・判断⑲）。**タイルの導出はアダプタで割る**——
     // 割らないと Google Chat タイルが Slack の登録件数・実測で判定される。
     // 鍵はタイル側（capDerivation）が「能力-アダプタ」で引く。実測ストアの
     // `cap: "google-chat"` の行は夜間の Gold 昇格が書く（#153 PR-E で結線済み）ので、
     // 夜間が一度走れば規則2/3（⚠️ / 接続OK）まで進む。走る前は規則4（実績なし→中立）
-    "チャット-google-chat": { id: "google-chat", question: "reachable", noFact: "登録済み（接続は未確認です）", keyLabel: "" },
-    "開発": { id: "dev", question: "reachable", noFact: "登録済み（接続は未確認です）", keyLabel: "" },
+    "チャット-google-chat": { id: "google-chat", question: "reachable", noFact: "登録済み（接続は未確認です）", keyLabel: "", refKeyed: true },
+    "開発": { id: "dev", question: "reachable", noFact: "登録済み（接続は未確認です）", keyLabel: "", refKeyed: true },
 };
+/**
+ * 登録したばかりで、まだ実測の行が1件も届いていない接続先があるときの語（#523 決定6）。
+ *
+ * 🔴 **`DS_GATE_PENDING`（「登録状況を確認中です」）と混ぜない。** あちらは
+ * 「登録簿が読めず、何件あるのかが分からない」という別の事実で、こちらは
+ * **登録は見えている・実測の到着を待っている**。上限は `UNSETTLED_TTL_MS`（15分）で、
+ * 過ぎたら規則4の中立文（「まだ取り込みがありません」）に戻す——待てば出るとは
+ * 言い続けない。
+ *
+ * ⚠ **定数そのものを export しない**（CommonJS で `exports.X` に化け、流し込んだ先で落ちる）。
+ */
+const STATE_CONFIRMING_TEXT = "確認しています…";
+/** 語を**テストから固定するための入れ物**（UNSETTLED_LIMITS と同じ作法） */
+exports.STATE_CONFIRMING = { text: STATE_CONFIRMING_TEXT };
 /**
  * 「鍵が無くて飛ばした」の一文（#225）。**能力ごとに鍵の呼び名が違う。**
  *
@@ -1931,7 +2065,7 @@ const BAD_STATE_STATUSES = {
     // 案件カレンダー（tools #427）。**`requested` は中立**（依頼を受けた・作成中）で悪くない。
     // 入れると、押した直後の 15 分が全部⚠️になる
     calendar: ["failed"],
-    reachable: ["not_in_channel", "missing_scope", "no_token", "unreachable", "not_in_space", "no_credentials", "no_consent", "transcripts_api_disabled", "no_access_policy", "speaker_attribution_off", "folder_not_granted"],
+    reachable: ["not_in_channel", "missing_scope", "no_token", "unreachable", "not_in_space", "no_credentials", "admin_approval_pending", "no_consent", "transcripts_api_disabled", "no_access_policy", "speaker_attribution_off", "folder_not_granted"],
 };
 /**
  * 案件カレンダーの ID の形か（#428）。
@@ -2254,10 +2388,16 @@ function calendarAddUrl(id) {
  *   `sanitizeStateNow` は0件を `null` に畳むので、`rows` だけを見ると
  *   「読めて空（＝まだ何も起きていない事実）」が「分からない」に化ける
  * @param ctx.rows `stateNow` の行
+ * @param ctx.refs 登録簿にある ref の鍵（`registeredRefKeys` の答え）。**分からなければ
+ *   渡さない**——null を「登録が無い」として篩うと、登録簿が読めなかった回に
+ *   実測が丸ごと無視され、画面が黙る（`registered: null` を 0 と混ぜないのと同じ理由）
+ * @param ctx.confirming 登録したばかりで実測の到着を待っている接続先があるか（決定6）。
+ *   規則4の文言だけを差し替える（状態は中立のまま）
  * @returns 導出結果。`null` なら規則5（従来表示へフォールバック）
  *
  * **クロージャを持たない純関数に保つこと**（`.toString()` でクライアントへ渡す。
- * `TILE_CAPS` / `BAD_STATE_STATUSES` は CLIENT_JS 側にも `var` で流し込んである）。
+ * `TILE_CAPS` / `BAD_STATE_STATUSES` / `STATE_CONFIRMING_TEXT` は CLIENT_JS 側にも
+ * `var` で流し込んである。`stateRefKey` もこれより前に流し込む）。
  */
 function deriveCapTile(cap, ctx) {
     var meta = TILE_CAPS[cap];
@@ -2271,25 +2411,43 @@ function deriveCapTile(cap, ctx) {
     if (!ctx || !ctx.seen)
         return null;
     var rows = Array.isArray(ctx.rows) ? ctx.rows : [];
-    var bad = BAD_STATE_STATUSES[meta.question] || [];
+    // **見る問いは「実績の問い」＋ alsoBad（#523 決定3）。** 悪い方で判定する
+    var questions = [meta.question].concat(meta.alsoBad || []);
+    // 登録簿にある ref の鍵。**無い（null / undefined）なら篩わない**（規則1が null を
+    // 0 と混ぜないのと同じ理由——読めなかったことを「登録が無い」と断定しない）
+    var refs = ctx.refs || null;
     var failed = 0;
     var skipped = 0;
+    var noToken = 0;
     var unreachable = 0;
     var okSeen = false;
     for (var i = 0; i < rows.length; i++) {
         var r = rows[i];
-        if (!r || r.cap !== meta.id || r.question !== meta.question)
+        if (!r || r.cap !== meta.id)
+            continue;
+        if (questions.indexOf(r.question) < 0)
+            continue;
+        // 🔴 **登録簿に無い ref の行は数えない（#523 決定2）。** 接続先を外してもストアの行は
+        // 残る（TTL が無い・既知の問題）ので、登録が1件以上ある能力では規則1が守ってくれない
+        // ——外したフォルダの `skipped` が残っているだけで「⚠ 取り込みを飛ばしました」が
+        // 出続ける（engine #314 の症状の候補3）。**篩い方の正本は stateRefKey 1箇所**
+        if (refs && meta.refKeyed && !refs[stateRefKey(meta.id, r.ref, r.workspace)])
             continue;
         // **一度でも成功していれば実績あり。** `lastOkAt` を見るのは、いま失敗している行でも
-        // 「繋がったことがある」のは事実だから（規則2が先に立つので表示は⚠️のまま）
-        if (r.status === "ok" || r.lastOkAt)
+        // 「繋がったことがある」のは事実だから（規則2が先に立つので表示は⚠️のまま）。
+        // **実績は `question`（その能力が「実際に動いた」と言える問い）の側だけで数える**
+        // ——Drive に届いていても取り込みが0件なら「まだ取り込みがありません」が事実
+        if (r.question === meta.question && (r.status === "ok" || r.lastOkAt))
             okSeen = true;
+        var bad = BAD_STATE_STATUSES[r.question] || [];
         if (bad.indexOf(r.status) < 0)
             continue;
         if (r.status === "failed")
             failed++;
         else if (r.status === "skipped")
             skipped++;
+        else if (r.status === "no_token" && meta.adminOnNoToken)
+            noToken++;
         else
             unreachable++;
     }
@@ -2303,6 +2461,13 @@ function deriveCapTile(cap, ctx) {
     // 設定が済んでいないだけで、利用者が取るべき行動が違う（鍵を入れる／原因を調べる）
     if (skipped)
         return { rule: 2, state: "warn", text: keyMissingText(cap), keyMissing: !!meta.keyLabel };
+    // 鍵が無くて「届くか」すら測れなかった（#523 決定3）。**「読めていません」と言わない**
+    // ——読もうとする前に止まっているので、直すのは鍵の登録（または管理者の設定）
+    if (noToken) {
+        return meta.keyLabel
+            ? { rule: 2, state: "warn", text: keyMissingText(cap), keyMissing: true }
+            : { rule: 2, state: "warn", text: "管理者の設定が必要です", keyMissing: false };
+    }
     if (unreachable) {
         return { rule: 2, state: "warn", text: unreachable + "件が読めていません", keyMissing: false };
     }
@@ -2310,6 +2475,13 @@ function deriveCapTile(cap, ctx) {
     if (okSeen)
         return { rule: 3, state: "ok", text: "接続OK", keyMissing: false };
     // ---- 規則4: 実績なし → 中立 ----
+    //
+    // **登録したばかりなら「確認しています…」（#523 決定6）。** 登録した瞬間から
+    // 「まだ取り込みがありません」と言うのは事実だが、利用者には「登録が効いていない」とも
+    // 読める。実測が届くまでの短い間（`UNSETTLED_TTL_MS`）だけ、待っていることを言う。
+    // **判定の材料は呼び出し側**（仮置き＝pending-ops の add・capConfirming）
+    if (ctx.confirming)
+        return { rule: 4, state: "idle", text: STATE_CONFIRMING_TEXT, keyMissing: false };
     return { rule: 4, state: "idle", text: meta.noFact, keyMissing: false };
 }
 function capabilityState(cap, ctx, adapter) {
@@ -2560,8 +2732,12 @@ function renderConnectionMap(site) {
         else if (isLive) {
             statusText = "ライブ参照";
         }
-        else if (internal?.lastSync) {
-            statusTs = internal.lastSync;
+        else if (fleetLastSyncOf(internal)) {
+            // 🔴 **run 由来の時刻は焼かない（#523 決定1）。** ここは図の3行目（「最終同期 …」）で、
+            // ライブが届くまでそのまま見えている。run の成功時刻（空振りを含む）を焼くと、
+            // 何も取り込めていない案件の図が「昨日同期できている」と語る——
+            // **ライブで訂正されるまでの数秒だけ嘘をつく**形も作らない
+            statusTs = fleetLastSyncOf(internal);
         }
         // 時刻はクライアントでローカルタイム整形するため data-ts で渡す。
         //
@@ -3739,6 +3915,12 @@ a.ds-tile:hover { text-decoration: none; }
    （flex: 1 1 100%）——状態バッジの横に押し込むと、いちばん読ませたい一文が
    カード幅に負けて省略される。状態の語より弱く、しかし読める大きさで出す */
 .ds-gate-help { flex: 1 1 100%; margin: 4px 0 0; font-size: 12px; line-height: 1.7; color: #6b7280; }
+/* 管理者への依頼文（#521）。手順が複数行あるので details に畳む——開いたまま出すと、
+   1行のはずの案内（.ds-gate-help / .ds-probe-help）が一覧を占領する */
+.ds-gate-request { margin-top: 4px; }
+.ds-gate-request > summary { cursor: pointer; color: var(--muted); font-size: 12px; }
+.ds-gate-request[open] > summary { margin-bottom: 6px; }
+.ds-gate-request-line { margin: 2px 0; font-size: 12px; line-height: 1.7; color: #6b7280; }
 /* 「接続を確認」を押した結果（2026-08-19）。**必ず自分の行を占める**（flex: 1 1 100%）。
    夜間のスナップショットの状態バッジと**同時に2つの判定を並べない**ため、押したあとは
    状態バッジをこの中の判定へ置き換える（同じ画面で「⚠️」と「接続OK」が並ぶのが、
@@ -4298,9 +4480,17 @@ ${secretRegisteredAnywhere.toString()}
 ${sanitizeCapabilitiesNow.toString()}
 ${sanitizeGithubOwnersNow.toString()}
 ${splitNeededParts.toString()}
+  // 🔴 **ingestedAtOf / deriveCapTile より前に置く。** 両方が突き合わせ鍵の畳み方を
+  // ここから引く（#523 S1）。順序を崩すと、孤児行の篩が undefined を呼んで画面が落ちる
+${stateRefKey.toString()}
+${registeredRefKeys.toString()}
+${fleetLastSyncOf.toString()}
 ${ingestedAtOf.toString()}
 var TILE_CAPS = ${JSON.stringify(TILE_CAPS)};
 var BAD_STATE_STATUSES = ${JSON.stringify(BAD_STATE_STATUSES)};
+  // 登録直後の一時表示（#523 決定6）。**この定数行を落とすと、流し込んだ deriveCapTile が
+  // 未定義を参照して画面のスクリプトが丸ごと死ぬ**（定数は export できないので値はここで注入）
+var STATE_CONFIRMING_TEXT = ${JSON.stringify(STATE_CONFIRMING_TEXT)};
 ${keyMissingText.toString()}
 ${deriveCapTile.toString()}
   // 案件カレンダー（#428）。**判定の実体はビルド時の定義**——画面側に書き写すと、
@@ -6176,6 +6366,30 @@ ${calendarAddUrl.toString()}
       cls: "ds-gate-muted",
       help: "管理者の設定が済むと読み取りが始まります。",
     },
+    // HTTP 403（#521）。アプリはスペースに追加済みだが、**顧客の Google Workspace 管理者**が
+    // Marketplace からの管理者インストールをまだ済ませていない。not_in_space（スペースの
+    // メンバーが直せる）にも no_credentials（艦隊側の鍵が無い＝顧客に打つ手が無い）にも
+    // 寄せない——直せるのが「顧客の管理者」という、どちらとも別の人・別の操作だから。
+    // **機械語（permission_denied）は出さない**（#521 で分類できたので、もう「不明」ではない）。
+    //
+    // 依頼文（手順つき）は長いので details に畳む。**help がそのまま summary の文になる**
+    // （gateHelpNodes・#521）——「帯は症状・行は一手」の1文は details の外に出さなくても
+    // summary は常に見えるので、開かなくても次の一手は読める。行の補足は最大1段の約束
+    // （github-state-reason.test.mjs）を守るため、help と request を別々の要素にしない
+    "admin_approval_pending": {
+      text: "管理者の承認待ち",
+      cls: "ds-gate-warn",
+      help: "貴社の Google Workspace 管理者がこのアプリを承認すると、読み取りが始まります。",
+      request: {
+        lines: [
+          "貴社の Google Workspace 管理者に、次の手順で「Cortex by Classmethod」の利用承認をご依頼ください。",
+          "1. Google 管理コンソール（admin.google.com）を開く",
+          "2. 「アプリ」→「Google Workspace Marketplace アプリ」を開く",
+          "3. 「アプリを追加」から「Cortex by Classmethod」を検索する",
+          "4. 組織全体（または該当の組織部門）へのインストールを選び、データへのアクセスを許可する",
+        ],
+      },
+    },
     // --- ここから Microsoft 365（#335）。**値の正本は infra 側の語彙表**
     // （slack-gate.mjs の SLACK_GATE_VALUES と connection-state-keys.mjs の
     // REACHABLE_STATUSES）で、1対1の一致を infra のテストと
@@ -6459,6 +6673,77 @@ ${calendarAddUrl.toString()}
     if (s.gate == null || s.gate === "") return DS_GATE_PENDING;
     return DS_GATE[s.gate] || DS_GATE["unknown"];
   }
+  /* ---------------------------------------------------------------------------
+   * 取り込む能力の接続先の行に出す「届くか」（#523 S1・決定2）
+   *
+   * Backlog の接続先・Drive のフォルダ・Figma のファイルにも、Slack の行と同じ
+   * **札と「いつ確かめたか」**を出す。語は 「DS_GATE」 が正本で、**能力ごとに直す操作が
+   * 違うものだけ**ここで言い換える:
+   *   - Drive の 「unreachable」 … 「アクセス不可」では何をすればよいか分からない。
+   *     直すのは**フォルダ側の共有**（取り込み用アカウントの招待）
+   *   - 鍵が無い（「no_token」）… 画面に鍵の入力欄がある能力（Backlog / Figma）は
+   *     鍵カードと同じ語（「keyMissingText」 と揃える）。Drive の資格情報は艦隊側にあり、
+   *     案件の人には打つ手が無いので「管理者の設定が必要です」（決定3と同じ振り分け）
+   *
+   * 🔴 **「DS_GATE」 本体に足さない。** あちらは**実測が返す語彙**と1対1で、
+   * 「state-vocab-parity.test.mjs」 が見張っている（足し忘れた判定が「不明」に落ちる事故の番人）。
+   * 能力ごとの言い換えは語彙ではないので、同じ表に混ぜるとその番人が意味を失う
+   * （「DS_GATE_NO_TOKEN」 / 「DS_GATE_RESTING_HELP」 と同じ判断）。
+   *
+   * **バッジは短語・次の一手は help に分ける**（バッジに長文を入れると行が折り返す）。
+   * ------------------------------------------------------------------------- */
+  var DS_GATE_CAP = {
+    materials: {
+      unreachable: {
+        text: "フォルダを開けません",
+        cls: "ds-gate-warn",
+        help: DRIVE_INGEST_ACCOUNT + " を閲覧者として招待してください（招待が外れると読めません）。",
+      },
+      no_token: { text: "管理者の設定が必要です", cls: "ds-gate-muted" },
+    },
+    issues: { no_token: { text: "APIキーが未登録です", cls: "ds-gate-muted" } },
+    design: { no_token: { text: "トークンが未登録です", cls: "ds-gate-muted" } },
+  };
+  /**
+   * その能力の行に出す「届くか」の語。**能力ごとの言い換えが無ければ 「DS_GATE」 のまま。**
+   * 知らない値は 「DS_GATE」 と同じく「不明」（engine が新しい語を足したのに画面が知らない、
+   * という事実を黙って消さない）。
+   */
+  function dsGateForCap(capId, status) {
+    var byCap = DS_GATE_CAP[capId];
+    if (byCap && byCap[status]) return byCap[status];
+    return DS_GATE[status] || DS_GATE["unknown"];
+  }
+  /**
+   * dsGateOf が持つ「次の一手」を、**必ず1個の DOM ノード**にする。呼び出しは3箇所
+   * （行の常時表示・「接続を確認」を押した結果・取り込む能力の行の「届くか」）で、
+   * gate.help / gate.request が正本——ここを通さずに文を書き写すと、片方だけ古くなる
+   * （DS_GATE の項と同じ理由）。
+   *
+   * 🔴 **要素を2つに割らない（行の補足は最大1段・github-state-reason.test.mjs
+   * 「行の補足は最大1段」）。** gate.request（依頼文。手順が複数行あるもの）があるときは、
+   * **help の1文を details の summary にする**——summary は開閉と無関係に常に見えるので、
+   * 「帯は症状・行は一手」は畳まなくても読め、依頼文の手順だけが details の中に畳まれる
+   * （#521・オーナー指摘「繰り返さない」）。help だけの p と request だけの details を
+   * 別々に足すと、同じ ds-gate-help が2つ並んで上の番人に落ちる。
+   *
+   * @param cls 呼び出し側の文脈を表す class（行は「ds-gate-help」、押した結果は
+   *   「ds-probe-help」）。**「ds-gate-help」を付けた要素だけが、押した瞬間に隠される**
+   *   （下の probeSection の stale 処理）ので、混同すると二重表示か消え忘れが起きる
+   */
+  function gateHelpNodes(gate, cls) {
+    if (gate.request) {
+      var det = el("details", { class: cls + " ds-gate-request" }, [
+        el("summary", { text: gate.help || "詳しい手順" }),
+      ]);
+      gate.request.lines.forEach(function (line) {
+        det.appendChild(el("p", { class: "ds-gate-request-line", text: line }));
+      });
+      return [det];
+    }
+    if (gate.help) return [el("p", { class: cls, text: gate.help })];
+    return [];
+  }
   /**
    * 一覧・タイルに出す「⚠️ …」の要約。**呼び出しは2箇所（グループの summary と能力タイル）。**
    * 写経すると片方だけ古くなり、同じ画面で語が割れる（この節では実際に起きた）。
@@ -8040,15 +8325,114 @@ ${calendarAddUrl.toString()}
     return registeredCountOf(derCap, adapter) !== null;
   }
 
+  /**
+   * その能力の「登録簿にある ref」の鍵（#523 決定2）。**読めなければ null。**
+   *
+   * 🔴 **null を空の表に畳まないこと。** 空の表を渡すと「どの行も登録簿に無い」と
+   * 判定され、実測が丸ごと捨てられる——**夜間が⚠️を書いているのにタイルが静か**という、
+   * いま直そうとしている嘘と同じ形になる。
+   *
+   * 仮置き（#388）も勘案する: add した ref は登録簿に載る前から有効・remove した ref は
+   * 載っていても無効（決定2「pending の 「remove-*」 も除外」）。一覧・件数と同じ材料を
+   * 使うので、「行は消えたのにタイルだけ⚠️」が起きない。
+   *
+   * ⚠ **チャットの add だけは、登録簿が追いつくまでの数分、篩い過ぎる余地がある。**
+   * 解除・追加の payload はワークスペースを持たない（どのワークスペースかはサーバが実測して
+   * 決める）ので、仮置きが入れられる鍵はワークスペース無しの1本だけ。**以前に登録していた
+   * チャンネルを再登録した直後**は、ストアに残った古い行（ワークスペース付き）がこの鍵に
+   * 当たらず、数分だけタイルが黙る（登録簿が追いつけば直る）。倒す向きは
+   * 「黙る」側で揃えてある——逆（測っていないものを⚠️にする）は直し方を示せない嘘になる。
+   */
+  function refKeysOf(derCap) {
+    var meta = TILE_CAPS[derCap];
+    if (!meta || !meta.refKeyed || !LIVE_REGISTERED) return null;
+    // チャットの混載タイル（アダプタ不明）は chat と google-chat の両方を抱えるが、
+    // 鍵は能力（meta.id）ごとに引くので、ここで合算するものは無い
+    var keys = registeredRefKeys(meta.id, LIVE_REGISTERED[meta.id]);
+    if (!keys) return null;
+    var ops = pendingOpsNow();
+    for (var i = 0; i < ops.length; i++) {
+      var e = ops[i];
+      var km = e && PENDING_KINDS[e.kind];
+      if (!km || km.reg !== meta.id) continue;
+      // 仮置きの鍵（targetId）は登録簿と同じ畳み方（backlog は pendingIssuesRef＝issuesRefOf）。
+      // チャットだけワークスペースを持たない（どのワークスペースかはサーバが実測して決める）
+      var key = meta.id === "chat" ? "\t" + e.targetId : e.targetId;
+      if (e.action === "add") keys[key] = true;
+      else if (e.action === "remove") {
+        delete keys[key];
+        // 🔴 **チャットは鍵が2本ある**（「ws + \t + ref」 と 「\t + ref」）。ワークスペース無しの
+        // 1本だけ消すと、**一覧から行が消えたのにタイルだけ⚠️が残る**（解除した顧客
+        // ワークスペースのチャンネルの実測が孤児として落ちない・実装レビュー🟡2）。
+        // 解除の payload はワークスペースを持たないので、接尾一致で両方消す
+        if (meta.id === "chat") {
+          for (var k in keys) {
+            if (!Object.prototype.hasOwnProperty.call(keys, k)) continue;
+            if (k.slice(-key.length) === key) delete keys[k];
+          }
+        }
+      }
+    }
+    return keys;
+  }
+
+  /**
+   * 登録したばかりで、まだ実測の行が1件も届いていない接続先があるか（#523 決定6）。
+   *
+   * **対象は取り込む4能力だけ**（「alsoBad」 を持つ能力＝規則4の文言が
+   * 「まだ取り込みがありません」の系）。チャット・開発の規則4は既に
+   * 「接続は未確認です」と言っており、待っていることが読める。
+   *
+   * 上限は 「UNSETTLED_TTL_MS」（15分）。過ぎたら中立文に戻る——**待てば出ると言い続けない**。
+   */
+  function capConfirming(derCap) {
+    var meta = TILE_CAPS[derCap];
+    if (!meta || !meta.alsoBad) return false;
+    var ops = pendingOpsNow();
+    var now = Date.now();
+    for (var i = 0; i < ops.length; i++) {
+      var e = ops[i];
+      var km = e && PENDING_KINDS[e.kind];
+      if (!km || e.action !== "add" || km.reg !== meta.id) continue;
+      if (!(now - e.committedAt < UNSETTLED_TTL_MS)) continue;
+      if (stateRowSeenFor(meta.id, e.targetId)) continue;
+      return true;
+    }
+    return false;
+  }
+
+  /** その接続先について、ストアの行が1件でも届いているか（問いは問わない・capConfirming の材料） */
+  function stateRowSeenFor(capId, targetId) {
+    var rows = LIVE_STATE || [];
+    for (var i = 0; i < rows.length; i++) {
+      var r = rows[i];
+      if (!r || r.cap !== capId) continue;
+      // 仮置きの鍵はワークスペースを持たないので、ここは ref の生値で比べる
+      // （issues だけは両側を issuesRefOf に畳む＝pendingIssuesRef と同形）
+      var k = capId === "issues" ? stateRefKey(capId, r.ref) : String(r.ref || "");
+      if (k === targetId) return true;
+    }
+    return false;
+  }
+
+  /**
+   * 導出に使う鍵（「能力」または「能力-アダプタ」）。**アダプタが分かるタイルは割る**
+   * （#153・判断⑲）——割らないと、Slack の登録件数・実測で Google Chat タイルが
+   * 「接続OK」を名乗る（逆も）。「能力-アダプタ」の変種は TILE_CAPS が持つ。
+   * **この解決を書き写さないこと**（写しがずれると、タイルと最終同期で別の能力を見る）
+   */
+  function derCapOf(cap, adapter) {
+    return adapter && TILE_CAPS[cap + "-" + adapter] ? cap + "-" + adapter : cap;
+  }
+
   function capDerivation(cap, adapter) {
-    // **アダプタが分かるタイルは、そのアダプタの名簿・実測だけで導出する（#153・判断⑲）。**
-    // 割らないと、Slack の登録件数・実測で Google Chat タイルが「接続OK」を名乗る（逆も）。
-    // 「能力-アダプタ」の変種は TILE_CAPS が持つ（無いアダプタは能力単位のまま）
-    var derCap = adapter && TILE_CAPS[cap + "-" + adapter] ? cap + "-" + adapter : cap;
+    var derCap = derCapOf(cap, adapter);
     return deriveCapTile(derCap, {
       registered: registeredCountOf(derCap, adapter),
       seen: LIVE_STATE_SEEN,
       rows: LIVE_STATE,
+      refs: refKeysOf(derCap),
+      confirming: capConfirming(derCap),
     });
   }
 
@@ -8432,6 +8816,26 @@ ${calendarAddUrl.toString()}
    */
   var KEY_SLOTS = { backlog: {}, backlogNamed: false, figma: null };
 
+  /**
+   * まとめ表の「最終同期」を後詰めに使ってよいか（#523 決定1・実装レビュー🔴1）。
+   *
+   * 🔴 **ストアを読めた回は使わない。** まとめ表の値がストア由来
+   * （「lastSyncSource: "ingested"」）でも、engine 側（「materialsLastOkAtOf」）は
+   * **登録簿で篩っていない**ので、
+   * それは**外したフォルダの時刻でありうる**。画面がストア側で孤児行を落としたそばから、
+   * 篩っていない同じ値をまとめ表から拾い直すと、#314 の「最終同期 9/8 18:34」がそのまま
+   * 復活する（実装レビューで実測）。
+   *
+   * だから後詰めは **「ストアが読めなかった回の代用」** に限る——古い Lambda・ストアの
+   * 読み取り失敗・ライブを持たない案件（焼いた HTML のまま見ている状態）。
+   * そこでは比べる相手が無いので、まとめ表が唯一かつ最良の答えになる。
+   * engine 側の篩は S5（「fleet-status.mjs」 の後始末）で入れる。
+   */
+  function fleetSyncFallback(internal) {
+    if (LIVE_STATE_SEEN) return "";
+    return fleetLastSyncOf(internal);
+  }
+
   function buildDataSources() {
     KEY_SLOTS = { backlog: {}, backlogNamed: false, figma: null };
     // 鍵カードも受け皿と同じく作り直す（前回の切り離されたカードを掴んだままにしない）
@@ -8523,6 +8927,22 @@ ${calendarAddUrl.toString()}
       capBox[cap].push({ node: node, adapter: adapter || "" });
     }
 
+    /**
+     * 能力ブロックの「最終同期」（#523 決定1）。**出どころはストアが先・まとめ表は後詰め。**
+     *
+     * タイルの2行目（tileSub）と同じ材料で、同じ順に引く（「fleetSyncFallback」 が
+     * 「後詰めを使ってよいか」の判定を1か所に持つ）。
+     *
+     * 出せないときは要素ごと出さない（「最終同期: —」のような空の行を置かない）。
+     */
+    function capBlockSyncEl(s, inactive) {
+      if (inactive || !s || !s.kind) return null;
+      var capId = capIdOf(s.kind);
+      var at = capId ? ingestedAtOf(LIVE_STATE, capId, refKeysOf(derCapOf(s.kind, ""))) : "";
+      var t = dsFmtTime(at || fleetSyncFallback(s) || "");
+      return t ? el("span", { class: "ds-sync", text: "最終同期: " + t }) : null;
+    }
+
     if (internals.length) {
       // **「いま同期する」ボタンは出さない。** 受け口（Apps Script の Webアプリ）を
       // 公開できないため、押しても届かない。
@@ -8590,9 +9010,11 @@ ${calendarAddUrl.toString()}
           "data-cap": s.kind || "",
         }, [
           col,
-          !inactive && s.lastSync && dsFmtTime(s.lastSync)
-            ? el("span", { class: "ds-sync", text: "最終同期: " + dsFmtTime(s.lastSync) })
-            : null,
+          // 🔴 **出どころはストアが先・まとめ表は後詰め（#523 決定1）。** まとめ表の
+          // 「lastSync」 には run の成功時刻（空振りを含む）が混ざるので、「fleetLastSyncOf」 が
+          // ストア由来のものだけを通す。タイルの「最終同期」と**同じ材料**にする
+          // ——別々に引くと、同じ画面の2箇所が違う時刻を「最終同期」と呼ぶ
+          capBlockSyncEl(s, inactive),
         ]);
         // 会議・共有資料・デザインの操作をブロック内に置く（その情報源の文脈で押せるように）
         var ctl = internalControls(s, inactive);
@@ -9136,10 +9558,20 @@ ${calendarAddUrl.toString()}
       // 「internalSources.lastSync」 は run 全体の最終成功時刻で、**どの接続先のことか
       // 分からない**（鍵が無くて1件も取り込めていない run でも「成功」で終わる）。
       // ストアの行は「その能力の接続先が実際に取り込めた事実」なので、同じ「最終同期」の
-      // 位置に出すならこちらが正しい。行が無ければ従来どおり run の時刻
+      // 位置に出すならこちらが正しい。
+      //
+      // 🔴 **まとめ表の後詰めは「ストアが読めなかった回」だけ（#523 決定1・「fleetSyncFallback」）。**
+      // run 由来は常に捨て、ストア由来でも**ストアを読めた回は使わない**（engine 側は
+      // まだ登録簿で篩っていないので、孤児行の時刻が混ざりうる）。出せないときは何も
+      // 言わない——2行目の語が「まだ取り込みがありません」と既に答えている。
+      // 孤児行（外した接続先の残骸）の時刻も数えない（決定2・refs を渡す）
       if (st !== "off" && st !== "idle") {
-        var ingestedAt = ingestedAtOf(LIVE_STATE, capIdOf(cap));
-        var t = dsFmtTime(ingestedAt || (internal && internal.lastSync) || "");
+        // 🔴 能力名は導出と同じ鍵から引く（「capIdOf」 はアダプタを見ないので、
+        // google-chat のタイルで「件数は gc・時刻は chat」という食い違いができる）
+        var derCapForId = derCapOf(cap, adapter);
+        var stateCapId = (TILE_CAPS[derCapForId] && TILE_CAPS[derCapForId].id) || capIdOf(cap);
+        var ingestedAt = ingestedAtOf(LIVE_STATE, stateCapId, refKeysOf(derCapForId));
+        var t = dsFmtTime(ingestedAt || fleetSyncFallback(internal) || "");
         if (t) parts.push("最終同期 " + t);
       }
       return parts.join("　");
@@ -9629,18 +10061,21 @@ ${calendarAddUrl.toString()}
    * 行の常時表示（DS_GATE の 「help」）が既に持っている——写経すると、同じ行の常時表示と
    * 押した結果で語が割れる（この節が何度も直してきた形）。DS_GATE から引いて1文だけ出す。
    *
-   * ⚠ **403（Workspace 管理者の承認待ち）は Phase 0 の採取まで 「unknown」。** その回は
-   * サーバの機械語（「permission_denied」）をそのまま出す。**「時間をおいて」と言わない**
-   * ——待っても直らない（管理者が承認するまで同じ応答が返る）。
+   * ⚠ **403（Workspace 管理者の承認待ち）は #521 で「admin_approval_pending」に分類済み。**
+   * 機械語（「permission_denied」）はもう出さない。**「時間をおいて」とも言わない**
+   * ——待っても直らない（管理者が承認するまで同じ応答が返る）。401 / 429 は依然
+   * Phase 0 未採取で「unknown」のまま、サーバの機械語をそのまま出す。
    */
   function googleChatProbeHelpNodes(s, r) {
-    var p = function (t) { return el("p", { class: "ds-probe-help", text: t }); };
     // 成功。**1行で終わり**（状態の語が既に「接続OK」と出ている）
     if (r.gate === "ok") return [];
-    // not_in_space / no_credentials は行の常時表示と同じ1文（DS_GATE から引く）。
+    // not_in_space / no_credentials / admin_approval_pending は行の常時表示と同じ文面
+    // （DS_GATE から引く。依頼文の details も gateHelpNodes 経由で同じものが出る）。
     // 押した瞬間に行側の 「.ds-gate-help」 は隠れるので、二重には出ない
-    var help = dsGateOf({ type: s.type, gate: r.gate }).help;
-    if (help) return [p(help)];
+    var gate = dsGateOf({ type: s.type, gate: r.gate });
+    var nodes = gateHelpNodes(gate, "ds-probe-help");
+    if (nodes.length) return nodes;
+    var p = function (t) { return el("p", { class: "ds-probe-help", text: t }); };
     if (r.gate === "unreachable") {
       // 帯（「アクセス不可」）が症状を言っている。**ここは一手だけ**
       return [p("時間をおいて、もう一度「接続を確認」を押してください。")];
@@ -10350,6 +10785,87 @@ ${calendarAddUrl.toString()}
     });
   }
 
+  /**
+   * その接続先の「届くか」の行（接続状態ストア・#523 S1）。**無ければ null。**
+   *
+   * 🔴 **突き合わせは 「stateRefKey」 を通す（両側とも）。** タイルの孤児行の篩と同じ
+   * 畳み方にしておかないと、「タイルは⚠️なのに、どの行にも札が付かない」が起きる
+   * ——どの接続先の話なのかが画面から分からない状態に戻る。
+   *
+   * **行が無ければ何も出さない**（「ingestedEl」 と同じ原則）。測っていないことを
+   * 「読めていない」と書くと、直す必要があると読ませる嘘になる。
+   */
+  function reachableStateOf(capId, ref, workspace) {
+    var rows = LIVE_STATE;
+    if (!rows || !rows.length || !capId) return null;
+    var want = stateRefKey(capId, ref, workspace);
+    if (!want) return null;
+    for (var i = 0; i < rows.length; i++) {
+      var r = rows[i];
+      if (!r || r.cap !== capId || r.question !== "reachable") continue;
+      if (stateRefKey(capId, r.ref, r.workspace) === want) return r;
+    }
+    return null;
+  }
+
+  /**
+   * 接続先1件の「届くか」の札と「いつ確かめたか」を行に足す（#523 S1・決定2）。
+   * **Slack の行と同じ見た目**（「.ds-gate」 ＋ 「.ds-gate-at」）。
+   *
+   * 🔴 **次の一手・理由（「.ds-gate-help」）はここで足さない。** あれは 「flex: 1 1 100%」 で
+   * 行を占めるので、行の途中に挟むと**ID と「この◯◯を外す」が案内文の下の行へ落ちる**
+   * （Slack の行が 「gateHelpNodes」 をボタンより後ろに置いているのと同じ理由・実装レビュー🟡3）。
+   * 行の組み立ての最後に 「appendReachableReason」 を呼ぶ。
+   */
+  function appendReachableChip(row, capId, ref, workspace) {
+    var r = reachableStateOf(capId, ref, workspace);
+    if (!r) return row;
+    var gate = dsGateForCap(capId, r.status);
+    row.appendChild(el("span", { class: "ds-gate " + gate.cls, text: gate.text }));
+    var when = rtAgo(r.at);
+    if (when) row.appendChild(el("span", { class: "ds-gate-at", text: when + "に確認" }));
+    return row;
+  }
+
+  /**
+   * 「届くか」の次の一手か理由を、**行の最後に1段だけ**足す（#523 S1・決定2）。
+   *
+   * 🔴 **理由（「detail」）は社内ビューアにしか出ない。** この値の出どころは 「op=state」
+   * （社内の操作タブ）だけで、顧客射影（engine が焼く fleet-status.json）には載らない。
+   * ここで「顧客にも出る」前提の文を書かないこと（決定2）。
+   *
+   * **語そのものが次の一手を示している状態には、理由を重ねない**（「showsRestingReason」 と
+   * 同じ振り分け——「ok」 / 「no_token」 / 「missing_scope」 / 「not_in_channel」）。
+   * 重ねると「管理者の設定が必要です」の下に「（管理者の設定が必要です）」が並ぶ
+   * （実装レビュー🟡4。規約「帯は症状・行は一手・繰り返さない」）。
+   *
+   * **書き手が button の detail は出さない**（「stateReasonOf」 の項——ボタンは判定の語
+   * そのものや生のエラーを detail に書く。人向けの文は needed が持つ）。
+   */
+  function appendReachableReason(row, capId, ref, workspace) {
+    var r = reachableStateOf(capId, ref, workspace);
+    if (!r) return row;
+    var gate = dsGateForCap(capId, r.status);
+    // 次の一手を持つ語（Drive の共有外れ等）は、その1文だけ
+    if (gate.help || gate.request) {
+      gateHelpNodes(gate, "ds-gate-help").forEach(function (n) { row.appendChild(n); });
+      return row;
+    }
+    if (r.status === "ok" || r.status === "no_token" || r.status === "missing_scope" || r.status === "not_in_channel") return row;
+    var reason = stateReasonOf({ needed: r.needed, detail: r.detail, gateBy: r.by });
+    // needed は Slack の行と同じ部品を通す（URL がリンクになる・スコープ名がラベル化される）
+    if (reason) row.appendChild(r.needed ? neededNode(reason, "ds-gate-help") : el("p", { class: "ds-gate-help", text: reason }));
+    return row;
+  }
+
+  /** 一覧に出ている接続先の「届くか」をひとつの文字列にする（描き直しの要否の判定用） */
+  function reachSigOf(capId, refs) {
+    return (refs || []).map(function (ref) {
+      var r = reachableStateOf(capId, ref && ref.ref != null ? ref.ref : ref, ref && ref.workspace);
+      return r ? r.status + "@" + r.at : "-";
+    }).join(",");
+  }
+
   /**
    * いま一覧に出ている接続先の「取り込み」をひとつの文字列にする（差し替えの要否の判定用）。
    *
@@ -10366,9 +10882,13 @@ ${calendarAddUrl.toString()}
       return r ? r.status + "@" + r.at : "-";
     }).join(",");
   }
-  /** 取り直しで描き直すかの署名: 取り込みの状態＋仮置きの印（#388・印だけ残さないため） */
+  /**
+   * 取り直しで描き直すかの署名: 取り込みの状態＋仮置きの印（#388・印だけ残さないため）
+   * ＋**「届くか」の状態**（#523 S1——混ぜないと、ストアの reachable が届いても札が付かない）
+   */
   function backlogPaintSigOf(list) {
-    return ingestSigOf(list) + "|" + (list || []).map(function (t) { return t && t.pending === true ? "p" : "-"; }).join(",");
+    return ingestSigOf(list) + "|" + (list || []).map(function (t) { return t && t.pending === true ? "p" : "-"; }).join(",")
+      + "|" + reachSigOf("issues", (list || []).map(function (t) { return issuesRefOf(t.domain, t.projectKey); }));
   }
 
   /**
@@ -10409,7 +10929,9 @@ ${calendarAddUrl.toString()}
     return (list || []).map(function (f) {
       var r = designIngestedStateOf(f && f.key);
       return r ? r.status + "@" + r.at : "-";
-    }).join(",");
+    }).join(",")
+      // 「届くか」も混ぜる（#523 S1。混ぜないと、ストアの reachable が届いても札が付かない）
+      + "|" + reachSigOf("design", (list || []).map(function (f) { return f && f.key; }));
   }
 
   /**
@@ -10458,7 +10980,12 @@ ${calendarAddUrl.toString()}
         // この接続先の取り込みが最後にどうなったか（段C）。測っていなければ null
         ingestedEl(ingestedStateOf(t.domain, t.projectKey), "課題管理"),
       ]);
-      if (!editable) return row;
+      // この接続先に届くか（#523 S1）。**「取り込み」とは別の問い**なので併記する
+      // ——鍵はあるが 403 でプロジェクトが見えない、は取り込みの失敗より前の話。
+      // 理由の1段は**行の最後**（ボタンより後ろ）に置く（appendReachableReason の項）
+      var issuesRef = issuesRefOf(t.domain, t.projectKey);
+      appendReachableChip(row, "issues", issuesRef);
+      if (!editable) return appendReachableReason(row, "issues", issuesRef);
       var btn = el("button", { class: "ds-toggle-btn ds-danger", type: "button", text: "この接続先を外す" });
       btn.addEventListener("click", async function () {
         // **最後の1件かどうかは「押した時点」で数える。** 描画時の件数で決めると、
@@ -10478,7 +11005,7 @@ ${calendarAddUrl.toString()}
         sendConfig(payload, msg, btn, null, targetsHooks());
       });
       row.appendChild(btn);
-      return row;
+      return appendReachableReason(row, "issues", issuesRef);
     }
 
     /**
@@ -10894,7 +11421,9 @@ ${calendarAddUrl.toString()}
           var d = driveNow();
           // 仮置きの印（drivePending）も署名に入れる——外れたときに印だけ残さない（#388）
           // 「確かめられたか」も混ぜる（#409。混ぜないと注記の要否が変わっても作り直されない）
-          return JSON.stringify([d.driveFolderIds || [], d.driveFolderNames || {}, d.driveState || "", d.drivePending || {}, registrationUnreadable()]);
+          // 「届くか」も混ぜる（#523 S1。混ぜないと、ストアの reachable が届いても札が付かない）
+          return JSON.stringify([d.driveFolderIds || [], d.driveFolderNames || {}, d.driveState || "", d.drivePending || {}, registrationUnreadable(),
+            reachSigOf("materials", d.driveFolderIds || [])]);
         }, function (listBox) {
         var src = driveNow();
         var folders = src.driveFolderIds || [];
@@ -10922,6 +11451,10 @@ ${calendarAddUrl.toString()}
                 ? { pending: true, pendingAt: src.drivePending[id] }
                 : null),
             ]);
+            // このフォルダに届くか（#523 S1）。engine の同期ジョブが毎回書いているのに
+            // **これまで画面に出す場所が1つも無かった**（共有が外れたことを、取り込みが
+            // 失敗するまで言えなかった）
+            appendReachableChip(row, "materials", id);
             // **名前を出したときはIDも併記する。** 同名のフォルダを見分けられなくなるのと、
             // 「このIDを外す」という確認文と画面の表示が食い違うのを防ぐ
             if (fname) row.appendChild(el("span", { class: "ds-sync", text: id }));
@@ -10944,6 +11477,8 @@ ${calendarAddUrl.toString()}
               // **クラスのハード代入をやめる**（片方だけ直し忘れる形を構造的に消す）
               onDone: function () { row.classList.add("ds-removed"); },
             }));
+            // 理由の1段は行の最後（ID と「このフォルダを外す」の後ろ・appendReachableReason の項）
+            appendReachableReason(row, "materials", id);
             dlist.appendChild(row);
           });
           listBox.appendChild(dlist);
@@ -11072,6 +11607,9 @@ ${calendarAddUrl.toString()}
             // このファイルの取り込みが最後にどうなったか（段C）。測っていなければ null
             ingestedEl(designIngestedStateOf(f.key), "デザイン"),
           ]);
+          // このファイルに届くか（#523 S1）。書き手は S4（いまは行が無いので何も出ない）。
+          // 理由の1段は行の最後に置く（appendReachableReason の項）
+          appendReachableChip(row, "design", f.key);
           row.appendChild(removeButton({
             label: "このファイルを外す",
             confirmLines: function () {
@@ -11105,6 +11643,7 @@ ${calendarAddUrl.toString()}
               else delete figSending[f.key];
             },
           }));
+          appendReachableReason(row, "design", f.key);
           // 描き直しのあとも「外した」ことが分かる形に戻す（figsRemoved の項に経緯）
           if (figsRemoved.indexOf(f.key) >= 0) {
             row.classList.add("ds-removed");
@@ -12174,7 +12713,7 @@ ${calendarAddUrl.toString()}
     //
     // **ボタンより後ろに置く。** カードは横並びの flex なので、間に挟むと
     // 「登録を解除」が案内文の下の行へ落ちて、既存案件の行の形が変わる
-    if (gate.help) card.appendChild(el("p", { class: "ds-gate-help", text: gate.help }));
+    gateHelpNodes(gate, "ds-gate-help").forEach(function (n) { card.appendChild(n); });
     // **最後に測った理由と直し方を、押す前から出す（#346）。** 「アクセス不可 8時間前に確認」
     // だけでは、押さない人（初見の PM 等）が止まる。表にエントリがある状態は定型の補足
     // （リンク込み）だけ、無い状態は needed → detail のフォールバック。どちらも ds-gate-help
@@ -13281,7 +13820,8 @@ ${calendarAddUrl.toString()}
         sync.removeAttribute("data-ts");
         // 接続OK のときだけ、ストア由来の取り込み時刻を添える（run の時刻ではない）。
         // 出せなければ語だけ——**繋がっていないものに同期時刻を並べない**（タイルと同じ規律）
-        var at = d.state === "ok" ? dsFmtTime(ingestedAtOf(LIVE_STATE, TILE_CAPS[cap].id)) : "";
+        // 孤児行（外した接続先の残骸）の時刻は出さない（#523 決定2・タイルと同じ篩）
+        var at = d.state === "ok" ? dsFmtTime(ingestedAtOf(LIVE_STATE, TILE_CAPS[cap].id, refKeysOf(cap))) : "";
         sync.textContent = at ? "最終同期 " + at : d.text;
       }
       var link = wrap.querySelector('.cm-link[data-cm-cap="' + cap + '"]');
@@ -13399,6 +13939,11 @@ ${calendarAddUrl.toString()}
    * 取れているときは図だけが古い。同じ画面で図が⚠️・直下が「接続OK」になる状態を
    * 黙って出さないよう、図がいつ時点かを明示する（図の再描画は別途）。
    * ライブが取れていないときは図と一覧が同じ時点なので、注記は出さない。
+   *
+   * 🔴 **「この図は◯時点」とは言わない（#523 決定5）。** ライブが届くと図の**状態**は
+   * 当て直される（「applyStateToConnMap」）ので、古いのは**設定と件数だけ**。図ぜんたいを
+   * 古いと言うと、訂正済みの状態まで疑わせる（逆に「最新」と言えば設定の古さが隠れる）。
+   * 何が古くて何が最新かを、そのまま書く。
    */
   function updateConnMapAsOf() {
     var wrap = app.querySelector(".conn-map");
@@ -13408,7 +13953,7 @@ ${calendarAddUrl.toString()}
     if (!LIVE_FLEET || !SITE.fleetGeneratedAt) return;
     var mapAsOf = dsFmtTime(SITE.fleetGeneratedAt);
     if (!mapAsOf) return;
-    wrap.appendChild(el("p", { class: "conn-map-asof", text: "この図は " + mapAsOf + " 時点です（下の一覧は最新）。" }));
+    wrap.appendChild(el("p", { class: "conn-map-asof", text: "設定と件数は " + mapAsOf + " 時点・接続状態は最新です。" }));
   }
   function opsCard(icon, title, desc, kind, btnLabel) {
     var btn = el("button", { class: "ops-card-btn", text: "＋ " + btnLabel });

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@takagaki/cortex-decisions-viewer",
-  "version": "0.12.47",
+  "version": "0.12.49",
   "description": "Cortexの意思決定記録（Decisions/*.md）を静的サイトにビルドして閲覧する。各レコードに「Edit on GitHub」リンクを付与する。",
   "license": "UNLICENSED",
   "private": false,