@the-bearded-bear/claude-craft 8.22.0 → 8.23.0

package/Dev/i18n/base/Angular/rules/00-project-context.md.template

@@ -10,7 +10,7 @@
 ## Tech Stack
 
 - **Framework**: Angular {{ANGULAR_VERSION}}
-- **Language**: TypeScript 5.x
+- **Language**: TypeScript 6.x
 - **Styling**: {{STYLING}} (SCSS/Tailwind/Angular Material)
 - **State Management**: {{STATE_MANAGEMENT}} (Signals/NgRx/NGXS)
 - **Testing**: {{TESTING}} (Vitest/Jest + Playwright)

package/Dev/i18n/base/CSharp/rules/06-tooling.md

@@ -347,8 +347,6 @@ ENTRYPOINT ["dotnet", "WebAPI.dll"]
 ### docker-compose.yml
 
 ```yaml
-version: '3.8'
-
 services:
   api:
     build:

package/Dev/i18n/base/CSharp/rules/11-security-csharp.md

@@ -2,7 +2,7 @@
 
 ## OWASP Top 10 Protection
 
-### A01: Broken Access Control
+### A01: Broken Access Control (includes SSRF)
 
 ```csharp
 // DO: Use policy-based authorization
@@ -51,7 +51,170 @@ public async Task<IActionResult> GetOrder(Guid orderId)
 }
 ```
 
-### A02: Cryptographic Failures
+#### SSRF — Server-Side Request Forgery (consolidated into A01 in 2025)
+
+```csharp
+// DO: Validate and restrict URLs
+public class SafeHttpClient
+{
+    private readonly HttpClient _httpClient;
+    private readonly ILogger<SafeHttpClient> _logger;
+    private readonly HashSet<string> _allowedHosts;
+
+    public SafeHttpClient(HttpClient httpClient, IConfiguration config, ILogger<SafeHttpClient> logger)
+    {
+        _httpClient = httpClient;
+        _logger = logger;
+        _allowedHosts = config.GetSection("AllowedExternalHosts").Get<HashSet<string>>()
+            ?? new HashSet<string>();
+    }
+
+    public async Task<string> FetchAsync(string url)
+    {
+        if (!Uri.TryCreate(url, UriKind.Absolute, out var uri))
+        {
+            throw new ArgumentException("Invalid URL format");
+        }
+
+        // Block private IP ranges
+        if (IsPrivateIp(uri.Host))
+        {
+            _logger.LogWarning("Blocked SSRF attempt to private IP: {Url}", url);
+            throw new SecurityException("Access to internal resources is not allowed");
+        }
+
+        // Whitelist check
+        if (!_allowedHosts.Contains(uri.Host))
+        {
+            _logger.LogWarning("Blocked request to non-whitelisted host: {Host}", uri.Host);
+            throw new SecurityException("Host not in allowed list");
+        }
+
+        return await _httpClient.GetStringAsync(uri);
+    }
+
+    private static bool IsPrivateIp(string host)
+    {
+        if (!IPAddress.TryParse(host, out var ip))
+        {
+            // Resolve hostname
+            try
+            {
+                var addresses = Dns.GetHostAddresses(host);
+                return addresses.Any(IsPrivateIpAddress);
+            }
+            catch
+            {
+                return false;
+            }
+        }
+
+        return IsPrivateIpAddress(ip);
+    }
+
+    private static bool IsPrivateIpAddress(IPAddress ip)
+    {
+        var bytes = ip.GetAddressBytes();
+        return bytes[0] switch
+        {
+            10 => true,
+            127 => true,
+            172 => bytes[1] >= 16 && bytes[1] <= 31,
+            192 => bytes[1] == 168,
+            _ => false
+        };
+    }
+}
+```
+
+### A02: Security Misconfiguration
+
+```csharp
+// Program.cs - Security headers
+var app = builder.Build();
+
+if (app.Environment.IsProduction())
+{
+    app.UseHsts();
+}
+
+app.UseHttpsRedirection();
+
+// Security headers middleware
+app.Use(async (context, next) =>
+{
+    context.Response.Headers.Append("X-Content-Type-Options", "nosniff");
+    context.Response.Headers.Append("X-Frame-Options", "DENY");
+    // X-XSS-Protection est déprécié — s'appuyer sur CSP Level 3
+    context.Response.Headers.Append("Referrer-Policy", "strict-origin-when-cross-origin");
+    context.Response.Headers.Append(
+        "Content-Security-Policy",
+        "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; frame-ancestors 'none'; upgrade-insecure-requests");
+    context.Response.Headers.Append("Cross-Origin-Opener-Policy", "same-origin");
+
+    await next();
+});
+
+// DO: Disable detailed errors in production
+if (app.Environment.IsDevelopment())
+{
+    app.UseDeveloperExceptionPage();
+}
+else
+{
+    app.UseExceptionHandler("/error");
+}
+
+// DO: Configure CORS properly
+builder.Services.AddCors(options =>
+{
+    options.AddPolicy("Production", policy =>
+    {
+        policy.WithOrigins("https://myapp.com", "https://www.myapp.com")
+              .AllowCredentials()
+              .WithMethods("GET", "POST", "PUT", "DELETE")
+              .WithHeaders("Content-Type", "Authorization");
+    });
+});
+
+// DON'T: Use wildcard CORS in production
+builder.Services.AddCors(options =>
+{
+    options.AddDefaultPolicy(policy =>
+    {
+        policy.AllowAnyOrigin()  // BAD in production
+              .AllowAnyMethod()
+              .AllowAnyHeader();
+    });
+});
+```
+
+### A03: Software Supply Chain Failures
+
+```bash
+# Check for vulnerable packages
+dotnet list package --vulnerable
+
+# Update packages
+dotnet outdated --upgrade
+```
+
+```yaml
+# .github/dependabot.yml
+version: 2
+updates:
+  - package-ecosystem: "nuget"
+    directory: "/"
+    schedule:
+      interval: "daily"
+    open-pull-requests-limit: 10
+    reviewers:
+      - "security-team"
+```
+
+- Generate an SBOM (CycloneDX 1.7) on every build and sign artifacts (Sigstore); pin package versions (`packages.lock.json`).
+
+### A04: Cryptographic Failures
 
 ```csharp
 // DO: Use strong encryption
@@ -110,7 +273,7 @@ public class User
 }
 ```
 
-### A03: Injection
+### A05: Injection
 
 ```csharp
 // DO: Use parameterized queries with Entity Framework
@@ -163,7 +326,7 @@ public async Task<string> RunReportAsync(string reportName)
 }
 ```
 
-### A04: Insecure Design
+### A06: Insecure Design
 
 ```csharp
 // DO: Implement rate limiting
@@ -195,92 +358,7 @@ builder.Services.Configure<IdentityOptions>(options =>
 });
 ```
 
-### A05: Security Misconfiguration
-
-```csharp
-// Program.cs - Security headers
-var app = builder.Build();
-
-if (app.Environment.IsProduction())
-{
-    app.UseHsts();
-}
-
-app.UseHttpsRedirection();
-
-// Security headers middleware
-app.Use(async (context, next) =>
-{
-    context.Response.Headers.Append("X-Content-Type-Options", "nosniff");
-    context.Response.Headers.Append("X-Frame-Options", "DENY");
-    // X-XSS-Protection est déprécié — s'appuyer sur CSP Level 3
-    context.Response.Headers.Append("Referrer-Policy", "strict-origin-when-cross-origin");
-    context.Response.Headers.Append(
-        "Content-Security-Policy",
-        "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; frame-ancestors 'none'; upgrade-insecure-requests");
-    context.Response.Headers.Append("Cross-Origin-Opener-Policy", "same-origin");
-
-    await next();
-});
-
-// DO: Disable detailed errors in production
-if (app.Environment.IsDevelopment())
-{
-    app.UseDeveloperExceptionPage();
-}
-else
-{
-    app.UseExceptionHandler("/error");
-}
-
-// DO: Configure CORS properly
-builder.Services.AddCors(options =>
-{
-    options.AddPolicy("Production", policy =>
-    {
-        policy.WithOrigins("https://myapp.com", "https://www.myapp.com")
-              .AllowCredentials()
-              .WithMethods("GET", "POST", "PUT", "DELETE")
-              .WithHeaders("Content-Type", "Authorization");
-    });
-});
-
-// DON'T: Use wildcard CORS in production
-builder.Services.AddCors(options =>
-{
-    options.AddDefaultPolicy(policy =>
-    {
-        policy.AllowAnyOrigin()  // BAD in production
-              .AllowAnyMethod()
-              .AllowAnyHeader();
-    });
-});
-```
-
-### A06: Vulnerable and Outdated Components
-
-```bash
-# Check for vulnerable packages
-dotnet list package --vulnerable
-
-# Update packages
-dotnet outdated --upgrade
-```
-
-```yaml
-# .github/dependabot.yml
-version: 2
-updates:
-  - package-ecosystem: "nuget"
-    directory: "/"
-    schedule:
-      interval: "daily"
-    open-pull-requests-limit: 10
-    reviewers:
-      - "security-team"
-```
-
-### A07: Identification and Authentication Failures
+### A07: Authentication Failures
 
 ```csharp
 // DO: Configure secure authentication
@@ -323,7 +401,7 @@ builder.Services.Configure<IdentityOptions>(options =>
 });
 ```
 
-### A08: Software and Data Integrity Failures
+### A08: Software or Data Integrity Failures
 
 ```csharp
 // DO: Use anti-forgery tokens
@@ -383,7 +461,7 @@ public async Task<IActionResult> UploadFile(IFormFile file)
 }
 ```
 
-### A09: Security Logging and Monitoring Failures
+### A09: Security Logging and Alerting Failures
 
 ```csharp
 // DO: Implement comprehensive security logging
@@ -435,80 +513,26 @@ builder.Host.UseSerilog((context, config) =>
 });
 ```
 
-### A10: Server-Side Request Forgery (SSRF)
+### A10: Mishandling of Exceptional Conditions
 
 ```csharp
-// DO: Validate and restrict URLs
-public class SafeHttpClient
+// DO: Global exception handler returning ProblemDetails (RFC 9457) — no stack trace in production
+public sealed class GlobalExceptionHandler(ILogger<GlobalExceptionHandler> logger) : IExceptionHandler
 {
-    private readonly HttpClient _httpClient;
-    private readonly ILogger<SafeHttpClient> _logger;
-    private readonly HashSet<string> _allowedHosts;
-
-    public SafeHttpClient(HttpClient httpClient, IConfiguration config, ILogger<SafeHttpClient> logger)
+    public async ValueTask<bool> TryHandleAsync(HttpContext context, Exception exception, CancellationToken ct)
     {
-        _httpClient = httpClient;
-        _logger = logger;
-        _allowedHosts = config.GetSection("AllowedExternalHosts").Get<HashSet<string>>()
-            ?? new HashSet<string>();
-    }
-
-    public async Task<string> FetchAsync(string url)
-    {
-        if (!Uri.TryCreate(url, UriKind.Absolute, out var uri))
-        {
-            throw new ArgumentException("Invalid URL format");
-        }
-
-        // Block private IP ranges
-        if (IsPrivateIp(uri.Host))
-        {
-            _logger.LogWarning("Blocked SSRF attempt to private IP: {Url}", url);
-            throw new SecurityException("Access to internal resources is not allowed");
-        }
-
-        // Whitelist check
-        if (!_allowedHosts.Contains(uri.Host))
-        {
-            _logger.LogWarning("Blocked request to non-whitelisted host: {Host}", uri.Host);
-            throw new SecurityException("Host not in allowed list");
-        }
-
-        return await _httpClient.GetStringAsync(uri);
-    }
-
-    private static bool IsPrivateIp(string host)
-    {
-        if (!IPAddress.TryParse(host, out var ip))
-        {
-            // Resolve hostname
-            try
-            {
-                var addresses = Dns.GetHostAddresses(host);
-                return addresses.Any(IsPrivateIpAddress);
-            }
-            catch
-            {
-                return false;
-            }
-        }
-
-        return IsPrivateIpAddress(ip);
-    }
-
-    private static bool IsPrivateIpAddress(IPAddress ip)
-    {
-        var bytes = ip.GetAddressBytes();
-        return bytes[0] switch
-        {
-            10 => true,
-            127 => true,
-            172 => bytes[1] >= 16 && bytes[1] <= 31,
-            192 => bytes[1] == 168,
-            _ => false
-        };
+        logger.LogError(exception, "Unhandled exception");
+        context.Response.StatusCode = StatusCodes.Status500InternalServerError;
+        await context.Response.WriteAsJsonAsync(
+            new ProblemDetails { Status = 500, Title = "An unexpected error occurred" }, ct);
+        return true;
     }
 }
+
+// Program.cs
+builder.Services.AddExceptionHandler<GlobalExceptionHandler>();
+builder.Services.AddProblemDetails();
+app.UseExceptionHandler();
 ```
 
 ## Secrets Management

package/Dev/i18n/base/Common/commands/aliases.md

@@ -19,6 +19,7 @@ These aliases reduce typing and improve productivity by providing short mnemonic
 | Alias | Full Command | Description |
 |-------|-------------|-------------|
 | `/ca` | `/common:audit-freshness` | Audit documentation freshness |
+| `/caa` | `/common:audit-claude-alignment` | Weekly Claude ecosystem alignment audit |
 | `/ci` | `/common:init` | Initialize Claude Craft |
 | `/cr` | `/common:release-checklist` | Pre-release verification checklist |
 | `/cs` | `/common:setup-project-context` | Setup project context for Claude |
@@ -123,6 +124,7 @@ Add to `~/.bashrc` or `~/.zshrc`:
 ```bash
 # Claude Craft Aliases
 alias ca='claude-code -p /common:audit-freshness'
+alias caa='claude-code -p /common:audit-claude-alignment'
 alias ci='claude-code -p /common:init'
 alias cr='claude-code -p /common:release-checklist'
 alias cs='claude-code -p /common:setup-project-context'
@@ -156,6 +158,7 @@ Add to `~/.config/fish/config.fish`:
 ```fish
 # Claude Craft Aliases
 alias ca 'claude-code -p /common:audit-freshness'
+alias caa 'claude-code -p /common:audit-claude-alignment'
 alias ci 'claude-code -p /common:init'
 alias cr 'claude-code -p /common:release-checklist'
 alias cs 'claude-code -p /common:setup-project-context'

package/Dev/i18n/base/Common/commands/audit-claude-alignment.md

@@ -0,0 +1,201 @@
+---
+description: "Audit hebdomadaire d'alignement sur l'écosystème Claude (CLI, modèles, best practices Anthropic, communauté) via équipe d'agents + PR de correction"
+argument-hint: "[--quick|--full] [--lens=<nom>] [--since=YYYY-MM-DD] [--dry-run] [--no-pr]"
+model: sonnet
+---
+
+# Audit d'alignement Claude — claude-craft
+
+Vérifie que claude-craft reste aligné sur l'état réel de l'écosystème Claude : version du CLI Claude Code, modèles et pricing, best practices Anthropic, features de la plateforme, avis de sécurité, et pratiques de la communauté.
+
+Complémentaire de `/common:audit-freshness`, qui couvre les stacks applicatifs (React, Symfony, Flutter…) et **jamais Claude Code lui-même**.
+
+**Résultat :** rapport `docs/audit/claude-alignment/<date>.md` + `<date>.json`, et une **PR** portant uniquement les corrections mécaniques. Tout ce qui demande un jugement part en checklist dans le corps de la PR, jamais en édition automatique.
+
+## Arguments
+
+$ARGUMENTS
+
+- `--quick` (défaut) : n'audite que les lentilles dont la source externe a bougé depuis la baseline
+- `--full` : force les 7 lentilles, effort `high` sur sécurité et modèles — cadence mensuelle
+- `--lens=<nom>` : une seule lentille (`cli-release`, `models-pricing`, `prompt-context`, `cc-features`, `security-cve`, `community`, `internal-conformance`)
+- `--since=YYYY-MM-DD` : force la date de baseline — rattrapage après un trou de cadence
+- `--dry-run` : pré-collecte + liste des agents qui seraient lancés. **Aucun agent, aucune écriture**
+- `--no-pr` : rapport seul, ni branche ni PR
+
+## MISSION
+
+### Étape 0 — Pré-vol et pré-collecte
+
+1. **Worktree propre obligatoire.** `git status --porcelain` ; si la sortie n'est pas vide, **arrêter** et le signaler. Des agents d'audit ont déjà pollué le worktree par le passé — on ne construit pas une PR par-dessus des modifications non validées.
+2. Lancer la pré-collecte déterministe (coût LLM nul) :
+   ```bash
+   node scripts/collect-claude-signals.mjs [--since=<date>] [--dry-run]
+   ```
+   Elle lit `config/claude-alignment-baseline.json`, interroge le registry npm, les avis de sécurité GitHub, le catalogue communautaire et les pages de doc suivies par empreinte, puis écrit `docs/audit/claude-alignment/signals-<date>.json`.
+3. Lire ce fichier. Le champ **`agents_to_launch`** est la liste exacte des lentilles à réveiller. Une lentille absente n'est **pas** auditée : écrire `✅ aucun changement depuis <baseline.last_run>` dans le rapport, sans lancer d'agent. C'est le principal levier de coût de cette commande.
+4. Calculer l'âge du dernier run (`baseline.last_run` → aujourd'hui). Au-delà de **10 jours**, ouvrir le rapport par un avertissement de cadence.
+5. En `--full`, ignorer `agents_to_launch` et retenir les 7 lentilles. En `--lens=<nom>`, ne retenir que celle-là. En `--dry-run`, s'arrêter ici en affichant la liste retenue et le coût estimé.
+
+### Étape 1 — Gates locaux (0 token)
+
+Lancer, et consigner le résultat de chacun dans le rapport :
+
+```bash
+npm run lint:versions   # cohérence tech-registry ↔ versions.yaml + denylist dans les fichiers vitrine
+npm run lint:includes   # liens @<path> fantômes
+npm run docs:check      # dérive des références générées
+npm run lint:i18n       # parité i18n (comptage + taille)
+```
+
+Un gate rouge est un finding **P1** au minimum. Ne pas le corriger ici : il alimente le patch-plan de l'étape 3.
+
+### Étape 2 — Équipe d'agents (un seul message, N appels Task en parallèle)
+
+Lancer **en un seul message** un agent par lentille retenue. Le routing modèle n'est pas négociable : il est ce qui rend l'audit hebdomadaire soutenable.
+
+| Lentille | `subagent_type` | `model` | `effort` |
+|---|---|---|---|
+| `cli-release` | `general-purpose` | `sonnet` | `medium` |
+| `models-pricing` | `general-purpose` | `sonnet` | `medium` (`high` en `--full`) |
+| `cc-features` | `claude-code-guide` | *(défaut de l'agent)* | — |
+| `prompt-context` | `general-purpose` | `sonnet` | `medium` |
+| `security-cve` | `general-purpose` | `sonnet` | `medium` (`high` en `--full`) |
+| `community` | `general-purpose` | `sonnet` | `medium` |
+| `internal-conformance` | `general-purpose` | `haiku` | `low` |
+
+`internal-conformance` est un scan mécanique 100 % local : son prompt lui **interdit explicitement** WebSearch et WebFetch. Les six autres reçoivent les URLs exactes issues de `signals-<date>.json` — ils font du WebFetch ciblé, pas de la découverte par WebSearch (non déterministe et multi-requêtes).
+
+**Socle commun à injecter dans chaque prompt d'agent :**
+
+```
+Tu audites la lentille "<LENTILLE>" du dépôt claude-craft (framework Claude Code, v<version de package.json>).
+
+CONTEXTE PRÉ-COLLECTÉ (ne pas re-chercher ce qui est déjà donné) :
+<coller le bloc lenses["<LENTILLE>"] de docs/audit/claude-alignment/signals-<date>.json>
+Baseline du dernier audit : <baseline.last_run>
+
+ÉTAPES :
+1. Lire les fichiers du dépôt listés ci-dessous : <PATHS>
+2. Confronter au réel via les sources fournies (WebFetch sur les URLs exactes ci-dessus).
+   Ne remonter QUE ce qui a changé depuis la baseline.
+3. Retourner EXACTEMENT ce format (< 300 mots) :
+
+## <LENTILLE>
+- **État déclaré dans le repo** : <valeur> (source: <path>:<ligne>)
+- **État réel observé** : <valeur> (source: <URL>)
+- **Écart** : aucun | mineur | majeur | critique
+- **Findings** :
+  - [<sévérité P0-P3>] <constat> — source: <URL>
+- **PATCH** : (uniquement les substitutions mécaniques sûres, une par ligne)
+  - <chemin> | <valeur actuelle> | <valeur cible> | <raison>
+- **JUGEMENT REQUIS** : (ce qui demande un arbitrage humain, jamais de PATCH)
+  - <point> — pourquoi ça ne peut pas être automatisé
+
+CONTRAINTES :
+- Citer une source pour CHAQUE affirmation. Si une info est introuvable, écrire "non trouvé".
+- Ne rien inventer, ne pas extrapoler une version depuis un numéro voisin.
+- Ne JAMAIS modifier un fichier. Tu es en lecture seule.
+- Un PATCH n'est légitime que si la substitution est littérale et sans ambiguïté
+  (numéro de version, identifiant de modèle, date). Toute reformulation de prose
+  va en JUGEMENT REQUIS.
+```
+
+**Cibles par lentille :**
+
+| Lentille | Fichiers du dépôt à confronter |
+|---|---|
+| `cli-release` | `config/versions.yaml` (`claudeCode.*`), `.claude/COMPATIBILITY.md`, `.claude/rules/12-context-management.md`, `docs/PREREQUISITES.md` |
+| `models-pricing` | `config/versions.yaml` (`claudeCode.models`, `denylist`), `.claude/rules/12-context-management.md`, `.claude/settings.json`, `.claude/settings.local.json.example` — charger le skill `claude-api` pour la référence modèles/pricing |
+| `cc-features` | `.claude/COMPATIBILITY.md`, `.claude/settings.json`, `.claude-plugin/plugin.json`, `.claude/agents/*.md`, `.claude/skills/*/SKILL.md` — identifier les features de la plateforme non encore adoptées |
+| `prompt-context` | `.claude/rules/12-context-management.md`, `.claude/rules/23-karpathy-principles.md`, `.claude/CLAUDE.md` |
+| `security-cve` | `.claude/rules/11-security.md`, `.claude/settings.json` (permissions), `.claude/COMPATIBILITY.md` (section CVE) |
+| `community` | `.claude/skills/ecosystem-tools/SKILL.md`, `docs/ECOSYSTEM.md` |
+| `internal-conformance` | Les 3 inventaires : `.claude/agents/*.md`, `.claude/skills/*/SKILL.md`, `.claude/commands/**/*.md`. Vérifier : frontmatter YAML parsable et `description` non vide ; `context: fork` présent sur tout skill de plus de 60 lignes ; cohérence `model:`/`effort:` (un agent `haiku` ne doit pas être en `effort: xhigh`) ; hooks lisant leur payload sur **stdin via `jq`** et jamais via `$TOOL_INPUT` ; aucun token de `denylist` hors fichiers vitrine |
+
+### Étape 3 — Synthèse, rapport, patch-plan
+
+1. Agréger les retours. Un agent qui a échoué laisse `⚠️ audit incomplet : <raison>` — ne jamais inventer sa section.
+2. Écrire `docs/audit/claude-alignment/<date>.md` :
+
+```markdown
+# Audit d'alignement Claude — <date>
+
+**Version claude-craft** : <package.json>
+**Mode** : quick | full
+**Baseline** : <date> (<N> jours) <⚠️ si > 10 jours>
+**Lentilles auditées** : <n>/7 — <liste> (les autres inchangées depuis la baseline)
+
+## Résumé exécutif
+
+| Sévérité | Nombre |
+|----------|--------|
+| 🔴 P0 | N |
+| 🟠 P1 | N |
+| 🟡 P2 | N |
+| 🔵 P3 | N |
+
+## Gates locaux
+
+| Gate | Résultat |
+|------|----------|
+| lint:versions | ✅ / ❌ <extrait> |
+| lint:includes | … |
+| docs:check | … |
+| lint:i18n | … |
+
+## Findings par lentille
+<coller chaque rapport d'agent>
+
+## Patch-plan appliqué
+| Fichier | Avant | Après | Raison |
+|---|---|---|---|
+
+## Jugement humain requis
+- [ ] <point> — <pourquoi>
+
+## Méthodologie
+- Pré-collecte : `scripts/collect-claude-signals.mjs` (npm registry, GitHub advisories, empreintes de pages, catalogue communautaire)
+- Agents : <n> (routing sonnet/haiku documenté dans la commande)
+- Sources : toutes citées dans les sections ci-dessus
+```
+
+3. Écrire le jumeau structuré `docs/audit/claude-alignment/<date>.json` : `{ audit_date, mode, baseline, lenses{}, summary{P0..P3}, patch_plan[], human_decisions_required[], gates{} }`.
+
+### Étape 4 — Branche et PR
+
+Sauter entièrement cette étape si `--no-pr`, `--dry-run`, ou si le patch-plan est vide.
+
+1. `git checkout -b chore/claude-alignment-<date>` depuis `main` à jour.
+2. Appliquer **uniquement** les entrées du patch-plan, et **uniquement** dans l'allowlist :
+   - `config/versions.yaml` — `claudeCode.recommended|testedUpTo|models.*`, `meta.lastUpdated`, ajouts en `denylist`
+   - `.claude/COMPATIBILITY.md` — bandeau d'en-tête et ajout de lignes dans la table `Version Requirements`
+   - Substitutions de version littérales dans les fichiers de `SHOWCASE_FILES` (`scripts/verify-versions.mjs`)
+   - `Dev/i18n/<lang>/Common/templates/settings.json.template` et `Dev/i18n/<lang>/Common/rules/12-context-management.md` (les 5 langues, en une seule passe cohérente)
+   - `config/claude-alignment-baseline.json` — remplacer par `next_baseline` du fichier de signaux
+3. **Interdit, sans exception** : `.github/workflows/` (le token `gh` n'a pas le scope `workflow`, la PR deviendrait non mergeable), tout fichier hors allowlist, toute reformulation de prose, tout fichier `.md` de documentation générée (`docs/*-FULL-REFERENCE.md` : passer par `npm run docs:generate`).
+4. Rejouer les 4 gates. **Un seul rouge ⇒ pas de PR** : laisser la branche en place et l'expliquer dans le rapport.
+5. `git add` limité aux fichiers de l'allowlist effectivement modifiés, puis commit en Conventional Commits :
+   `chore(alignment): sync Claude Code <ancienne> → <nouvelle> + modèles`
+6. `gh pr create` avec, dans le corps : le résumé exécutif, le tableau du patch-plan, et la checklist « jugement humain requis ». **Jamais de merge automatique.**
+7. Revenir sur `main` et confirmer à l'utilisateur l'URL de la PR.
+
+## Règles strictes
+
+- **Worktree propre** en préalable absolu ; sinon, arrêt immédiat.
+- **Aucune édition hors allowlist**, et aucune édition du tout tant que les gates ne sont pas verts.
+- **Toute affirmation de version cite une source** (URL ou `path:ligne`).
+- **Fail-open assumé** : une source injoignable rend la lentille « à auditer », jamais « rien à signaler ».
+- **Un agent en échec** laisse `⚠️ audit incomplet : <raison>` — pas de section inventée.
+- **Parallélisme obligatoire** : un seul message contenant tous les appels Task de l'étape 2.
+- **Langue du rapport** : français, avec accents.
+
+## Exemples
+
+```
+/common:audit-claude-alignment                          # rituel hebdomadaire
+/common:audit-claude-alignment --dry-run                # quelles lentilles bougeraient ? coût nul
+/common:audit-claude-alignment --full                   # passage mensuel approfondi
+/common:audit-claude-alignment --lens=cli-release --no-pr
+/common:audit-claude-alignment --since=2026-06-30       # rattrapage après un trou de cadence
+```

package/Dev/i18n/base/Common/commands/init.md

@@ -100,7 +100,7 @@ Always use Docker for commands to abstract from local environment.
 ```markdown
 # Claude-Craft - {{PROJECT_NAME}}
 
-**Stack**: Flutter 3.44+, Dart 3.12+, Clean Architecture, Riverpod/BLoC
+**Stack**: Flutter 3.47+, Dart 3.13+, Clean Architecture, Riverpod/BLoC
 
 ## Quick Reference
 

package/Dev/i18n/base/Common/commands/search.md

@@ -102,7 +102,8 @@ When a user invokes `/common:search <keyword>`:
 | `architecture` | architecture skill, @database-architect |
 | `react` | /react:* commands, @react-reviewer |
 | `symfony` | /symfony:* commands, @symfony-reviewer |
-| `audit` | /team:audit, /common:audit-freshness |
+| `audit` | /team:audit, /common:audit-freshness, /common:audit-claude-alignment |
+| `claude code` | /common:audit-claude-alignment, .claude/COMPATIBILITY.md |
 | `workflow` | /workflow:* commands, workflow-analysis skill |
 
 ---

package/Dev/i18n/base/Common/skills/dynamic-workflows/SKILL.md

@@ -65,7 +65,7 @@ validée. Pour des éditions concurrentes de fichiers, `isolation: 'worktree'`.
 
 - **ralph-run** (`/common:ralph-run`) : boucle séquentielle mono-contexte jusqu'à une DoD — pas de
   parallélisme. Pour une tâche qui dépasse ce modèle, basculer sur un Dynamic Workflow.
-- **`/effort ultracode`** : palier d'effort CLI (débit code max sur Opus 4.8) — orthogonal au
+- **`/effort ultracode`** : palier d'effort CLI (débit code max sur Opus 5.5) — orthogonal au
   déclencheur `ultracode` des workflows, même si souvent utilisés ensemble.
 
 > Référence : [Claude Code Workflows](https://code.claude.com/docs/en/workflows) · voir aussi