repowarden 4.10.2-next.1 → 4.11.0-next.13

package/bin/bot

@@ -115,7 +115,24 @@ TRAVAIL="$(mktemp -d)"
 trap 'rm -rf "$TRAVAIL"' EXIT
 # Identité des commits du bot (workflow : <slug>[bot]), crédits de gh
 NOM_BOT="${REPOWARDEN_BOT_NAME:-repowarden-bot}"
-COURRIEL_BOT="${REPOWARDEN_BOT_EMAIL:-repowarden-bot@users.noreply.github.com}"
+
+# Adresse <id>+<slug>[bot]@users.noreply.github.com, comme bot.yml : seule
+# forme que GitHub rattache à l'App. Slug tiré du nom, car un jeton
+# d'installation ne peut pas lire /app ; repli signalé si l'id est introuvable.
+courriel_bot_r() {
+    REPLY="${REPOWARDEN_BOT_EMAIL:-}"
+    [ -z "$REPLY" ] || return 0
+    local slug="${NOM_BOT%\[bot\]}" id
+    id="$(gh api "users/${slug}[bot]" --jq .id 2>/dev/null || true)"
+    case "$id" in
+        "" | *[!0-9]*)
+            REPLY="repowarden-bot@users.noreply.github.com"
+            attention_t bot.email_fallback "${slug}[bot]" "$REPLY" ;;
+        *) REPLY="${id}+${slug}[bot]@users.noreply.github.com" ;;
+    esac
+}
+courriel_bot_r
+COURRIEL_BOT="$REPLY"
 
 # Dernière ligne d'erreur d'une sortie (✖ …), pour le rapport
 derniere_erreur_r() {

package/bin/bots

@@ -431,18 +431,19 @@ YAML
 YAML
         fi
     fi
-    # Tickets livrés : statut done et fermeture à la release, préprod à la
-    # préversion ; seulement avec le suivi des tickets (sinon le job échoue)
+    # Tickets livrés : statut done et fermeture à la release (ou à une
+    # livraison sans nouvelle version), préprod à la préversion ; seulement avec le suivi des tickets (sinon le job échoue)
     if choisi tickets || [ -e .github/workflows/tickets.yml ]; then
         cat <<'YAML'
 
   tickets:
     needs: release
-    if: needs.release.outputs.release_created == 'true' || needs.release.outputs.prerelease_created == 'true'
+    if: needs.release.outputs.release_created == 'true' || needs.release.outputs.prerelease_created == 'true' || needs.release.outputs.delivered_without_version != ''
     uses: simdevWarden/repowarden/.github/workflows/tickets.yml@v4
     permissions: { contents: write, issues: write, pull-requests: write, statuses: write }
     with:
       tag: ${{ needs.release.outputs.tag_name || needs.release.outputs.prerelease_tag }}
+      delivered-sha: ${{ needs.release.outputs.delivered_without_version }}
 YAML
         if [ -n "$AVEC_APP" ]; then
             cat <<'YAML'

package/bin/garde

@@ -100,6 +100,16 @@ verifier_commit() {
     fi
 }
 
+# Vrai si les mots $@ demandent une lecture seule (aide, aperçu) : rien n'est
+# commité, rien à refuser
+lecture_seule() {
+    local mot
+    for mot in "$@"; do
+        case "$mot" in -h | --help | --dry-run) return 0 ;; esac
+    done
+    return 1
+}
+
 # repowarden cc / commit (ou git cc), lancé depuis le dossier $dir
 verifier_cc() {
     dossier_r "$dir"
@@ -169,6 +179,7 @@ verifier_git() {
         done
         case "$sous" in
             commit)
+                lecture_seule ${args_git[@]+"${args_git[@]}"} && exit 0
                 amend="" noedit=""
                 for mot in ${args_git[@]+"${args_git[@]}"}; do
                     case "$mot" in
@@ -183,7 +194,7 @@ verifier_git() {
                 refuser garde.commit "$ligne"
                 ;;
             cc)
-                verifier_commit "$ligne"
+                lecture_seule ${args_git[@]+"${args_git[@]}"} || verifier_commit "$ligne"
                 ;;
             add)
                 for mot in ${args_git[@]+"${args_git[@]}"}; do
@@ -227,7 +238,7 @@ verifier_git() {
 # Ligne de commande shell : chaque commande (&&, ||, ;, |, retour à la ligne),
 # « cd » suivi, variables d'environnement en tête ignorées
 verifier_shell() {
-    local commande="$1" segment mots m nl=$'\n' lignes
+    local commande="$1" segment mots m cmd_cc nl=$'\n' lignes
     dir="$cwd"
     # Une commande par ligne. Découpage hors de <( … ) : bash 3.2 (macOS) y
     # lit mal ces motifs (« bad substitution ») et ne vérifierait plus rien
@@ -264,7 +275,13 @@ verifier_shell() {
                 verifier_git "${@//[\"\']/}"
                 ;;
             repowarden | */repowarden)
-                case "${2//[\"\']/}" in cc | commit) verifier_cc "repowarden ${2//[\"\']/}" ;; esac
+                case "${2//[\"\']/}" in
+                    cc | commit)
+                        cmd_cc="repowarden ${2//[\"\']/}"
+                        shift 2
+                        lecture_seule "${@//[\"\']/}" || verifier_cc "$cmd_cc"
+                        ;;
+                esac
                 ;;
         esac
     done <<<"$lignes"

package/bin/migrer

@@ -29,24 +29,10 @@ done
 [ -n "$GIT_TOPLEVEL" ] || { err_t install.not_repo; exit 1; }
 cd "$GIT_TOPLEVEL"
 
-# Version majeure dont le tag flottant (vN) est publié : celle de repowarden ;
-# préversion d'une nouvelle majeure (X.0.0-next) : X-1, vX n'existant pas encore
-majeure_r() {
-    local v
-    repowarden_version_r "$ROOT"
-    v="$REPLY"
-    # 0.0.0-dev : version inconnue (clone sans tags), rien à déduire
-    if [ "$v" = 0.0.0-dev ]; then REPLY=""; return; fi
-    REPLY="${v%%.*}"
-    REPLY="${REPLY%%-*}"
-    [[ "$v" != *.0.0-* ]] || REPLY=$((REPLY - 1))
-}
-if [ -n "${REPOWARDEN_MAJEURE:-}" ]; then
-    MAJEURE="$REPOWARDEN_MAJEURE"
-else
-    majeure_r
-    MAJEURE="$REPLY"
-fi
+# Version majeure dont le tag flottant (vN) est publié
+repowarden_version_r "$ROOT"
+repowarden_majeure_r "$REPLY"
+MAJEURE="$REPLY"
 [ -n "$MAJEURE" ] || { err_t mig.unknown_version "$ROOT"; exit 1; }
 [[ "$MAJEURE" =~ ^[1-9][0-9]*$ ]] || { err_t mig.no_major "$MAJEURE"; exit 1; }
 BRANCHE="chore/migration-repowarden-v$MAJEURE"

package/bin/statut

@@ -9,6 +9,8 @@ set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
 # shellcheck source=../hooks/lib/common.sh
 source "$ROOT/hooks/lib/common.sh"
+# shellcheck source=../hooks/lib/secrets.sh
+source "$ROOT/hooks/lib/secrets.sh"
 exec 2>&1 # une seule sortie, dans l'ordre (avertissements compris)
 # shellcheck disable=SC2034 # lu par check_version (common.sh)
 HOOKS_DIR="$ROOT/hooks"
@@ -78,6 +80,42 @@ if [ -n "$GIT_TOPLEVEL" ]; then
         attention_t st.repo_migrate
         suivant="${suivant:-repowarden migrer}"
     fi
+    # Workflows qui appellent repowarden : dépôt officiel et tag vN de la
+    # majeure installée. Autre dépôt (ancien propriétaire, fork), branche
+    # (cassé quand elle disparaît) ou majeure dépassée : la ligne à corriger
+    repowarden_majeure_r "$version"
+    majeure="$REPLY"
+    re_uses='^[[:space:]]*(-[[:space:]]+)?uses:[[:space:]]*["'"'"']?([A-Za-z0-9_.-]+)/repowarden(/[^@[:space:]"'"'"']*)?@([^[:space:]"'"'"'#]+)'
+    re_tag='^v([0-9]+)(\.[0-9]+)*(-[0-9A-Za-z.]+)?$'
+    re_sha='^[0-9a-f]{40}$'
+    for wf in "$GIT_TOPLEVEL"/.github/workflows/*.yml "$GIT_TOPLEVEL"/.github/workflows/*.yaml; do
+        [ -f "$wf" ] || continue
+        n=0
+        while IFS= read -r ligne || [ -n "$ligne" ]; do
+            n=$((n + 1))
+            [[ "$ligne" =~ $re_uses ]] || continue
+            proprio="${BASH_REMATCH[2]}" chemin="${BASH_REMATCH[3]}" ref="${BASH_REMATCH[4]}"
+            attendu="simdevWarden/repowarden$chemin@v${majeure:-N}"
+            shopt -s nocasematch
+            officiel=""
+            [[ "$proprio" != simdevwarden ]] || officiel=1
+            shopt -u nocasematch
+            cle=""
+            if [ -z "$officiel" ]; then
+                cle=st.wf_owner arg="$proprio/repowarden"
+            elif [[ "$ref" =~ $re_tag ]]; then
+                if [ -n "$majeure" ] && [ "${BASH_REMATCH[1]}" -lt "$majeure" ]; then
+                    cle=st.wf_old arg="$ref"
+                fi
+            elif ! [[ "$ref" =~ $re_sha ]]; then
+                cle=st.wf_branch arg="$ref"
+            fi
+            [ -n "$cle" ] || continue
+            attention_t "$cle" "${wf#"$GIT_TOPLEVEL"/}" "$n" "$arg" "$attendu"
+            t st.wf_fix
+            suivant="${suivant:-$REPLY}"
+        done <"$wf"
+    done
     # Branche develop présente, flux non déclaré : traité comme « main seule »
     cfg_r integrationBranch ""
     if [ -z "$REPLY" ] && git rev-parse -q --verify refs/remotes/origin/develop >/dev/null; then
@@ -93,6 +131,11 @@ if [ -n "$GIT_TOPLEVEL" ]; then
             ok_t st.repo_version_ok "$attendue"
         fi
     fi
+    # Fichier sensible ni suivi ni ignoré (même avertissement qu'au pre-commit)
+    if ! skipped secrets && ! skipped sensitive-files; then
+        sensitive_files_r
+        [ -z "$REPLY" ] || sensitive_files_warn "$REPLY"
+    fi
     info_t st.repo_forge "$FORGE"
     [ "$FORGE" != github ] || dim_t st.repo_rules
 fi
@@ -103,6 +146,11 @@ for outil in gitleaks ruff vulture staticcheck pmd; do
     if has "$outil"; then presents="$presents $outil"; else absents="$absents $outil"; fi
 done
 info_t st.tools "${presents# }" "${absents# }"
+# Sans gitleaks, les secrets ne sont vérifiés que par la CI
+if ! has gitleaks && ! skipped secrets; then
+    gitleaks_install_r
+    suivant="${suivant:-$REPLY}"
+fi
 
 echo
 if [ -n "$suivant" ]; then

package/bin/ticket

@@ -103,6 +103,11 @@ cmd_nouveau() {
         shift
     done
     [ -n "$titre" ] || { err_t tk.cli.title_required; exit 1; }
+    # Étiquette « type: … » inexistante : gh refuserait de créer le ticket
+    if [ -n "$type" ] && tickets_managed && [[ " $TYPES_TICKET " != *" $type "* ]]; then
+        err_t tk.cli.bad_type "$type" "${TYPES_TICKET// /, }"
+        exit 1
+    fi
     gh_ready || exit 1
     if tickets_managed; then
         etiquettes+=(--label "$S_AVALIDER")

package/bin/tickets

@@ -3,7 +3,7 @@
 #   repowarden tickets init [--repo propriétaire/nom] [--sans-validation-auto]
 #   repowarden tickets sync   branches locales des tickets qui me sont assignés
 #                             (automatique si réglage ticketSync = auto ; défaut manual)
-#   - étiquettes : « validé », les statuts (à valider, backlog, en cours,
+#   - étiquettes : « validé », « à décider » (suspend la validation d'office), les statuts (à valider, backlog, en cours,
 #     en relecture, préprod, done) et les types (type: feat, type: fix…), qui
 #     donnent le préfixe de la branche du ticket ;
 #   - modèle de ticket .github/ISSUE_TEMPLATE/ticket.yml (créé « à valider ») ;
@@ -60,6 +60,7 @@ while IFS='|' read -r nom couleur description; do
 done <<'ETIQUETTES'
 validé|0e8a16|Ticket accepté par un mainteneur (débloque ses PR)
 statut: à valider|fbca04|Ticket créé, en attente de validation
+à décider|d4c5f9|Proposé : pas de validation d'office, un mainteneur décide
 statut: backlog|c5def5|Validé, pas encore commencé
 statut: en cours|1d76db|Travail commencé (PR en brouillon)
 statut: en relecture|5319e7|PR prête, en relecture

package/ci/tickets/adopter.sh

@@ -6,7 +6,7 @@
 
 # Mise en route sur un dépôt existant (tickets init, relançable) : tickets
 # ouverts sans statut rangés (validé ou ouvert par un mainteneur → backlog,
-# sinon à valider) ; branches des PR ouvertes et mergées inscrites sur les
+# sinon, ou « à décider », à valider) ; branches des PR ouvertes et mergées inscrites sur les
 # tickets qu'elles citent. Aucune branche créée en masse : elle naît quand le
 # ticket est pris (repowarden ticket N).
 cmd_adopter() {
@@ -17,7 +17,8 @@ cmd_adopter() {
         ! grep -q '^statut: ' <<<"$labels" || continue
         if grep -qxF "$VALIDE" <<<"$labels"; then
             statut "$n" "$S_BACKLOG"
-        elif [ "${AUTO_VALIDATE:-maintainers}" = maintainers ] && est_mainteneur "$assoc"; then
+        elif [ "${AUTO_VALIDATE:-maintainers}" = maintainers ] && est_mainteneur "$assoc" \
+            && ! grep -qxF "$A_DECIDER" <<<"$labels"; then
             gh issue edit "$n" --add-label "$VALIDE" >/dev/null
             statut "$n" "$S_BACKLOG"
         else

package/ci/tickets/issue.sh

@@ -7,10 +7,15 @@
 # Ticket $1 validé : backlog s'il attendait la validation, sa branche, et
 # vérification relancée sur les PR ouvertes qui l'attendaient
 accepter() {
-    local n="$1" pr head sha body base brouillon
-    if grep -qxF "$S_AVALIDER" <<<"$(etiquettes "$n")"; then
+    local n="$1" pr head sha body base brouillon labels
+    labels="$(etiquettes "$n")"
+    if grep -qxF "$S_AVALIDER" <<<"$labels"; then
         statut "$n" "$S_BACKLOG"
     fi
+    # Décision prise : « à décider » n'a plus lieu d'être
+    if grep -qxF "$A_DECIDER" <<<"$labels"; then
+        gh issue edit "$n" --remove-label "$A_DECIDER" >/dev/null
+    fi
     # La branche naît quand le ticket est pris (assigné) : un ticket validé
     # pour plus tard n'a pas de branche qui vieillit en attendant
     if [ -n "$(assignes "$n")" ]; then
@@ -36,7 +41,8 @@ accepter() {
 # GitHub ne garde qu'un run en attente par groupe de concurrence, le run
 # « opened » peut être annulé par ceux des étiquettes posées à la création.
 # Non si déjà validé, ou (hors ouverture) rangé au-delà de « à valider »
-# (« validé » retiré à la main : décision respectée). Test seul : appelé dans un « if », où set -e
+# (« validé » retiré à la main : décision respectée), ou proposé à décider
+# (étiquette « à décider » : le mainteneur pose « validé »). Test seul : appelé dans un « if », où set -e
 # ne s'applique pas.
 a_valider_d_office() {
     local labels l
@@ -45,6 +51,7 @@ a_valider_d_office() {
     [ "${ISSUE_STATE:-open}" = open ] || return 1
     labels="$(etiquettes "$ISSUE")"
     ! grep -qxF "$VALIDE" <<<"$labels" || return 1
+    ! grep -qxF "$A_DECIDER" <<<"$labels" || return 1
     [ "$ACTION" != opened ] || return 0
     while IFS= read -r l; do
         [[ "$l" == "statut: "* && "$l" != "$S_AVALIDER" ]] && return 1

package/ci/tickets/release.sh

@@ -1,20 +1,30 @@
 # shellcheck shell=bash
-# Suivi des tickets, préversion et release (ci/tickets.sh release) : tickets
-# prévenus, ou passés en done et fermés.
+# Suivi des tickets, préversion, release ou livraison sans nouvelle version
+# (ci/tickets.sh release) : tickets prévenus, ou passés en done et fermés.
 # Chargé par ci/tickets.sh (après hooks/lib/common.sh et hooks/lib/tickets.sh).
 # shellcheck disable=SC2154 # statuts, réglages et compteurs définis dans les autres modules
 
+# TAG : release (vX.Y.Z) ou préversion (vX.Y.Z-next.N) ; sans TAG,
+# DELIVERED_SHA : commit livré sur la branche principale sans nouvelle version
+# (livraison sans fix ni feat), les tickets livrés sont fermés tout de même
 cmd_release() {
-    local n
+    local n tag="${TAG:-}" sha="${DELIVERED_SHA:-}"
+    if [ -n "$tag" ]; then
+        if [[ "$tag" == *-* ]]; then _tr tk.prerelease "$tag"; else _tr tk.released "$tag"; fi
+    elif [ -n "$sha" ]; then
+        _tr tk.delivered "${MAIN:-main}" "${sha:0:7}"
+    else
+        echo "ci/tickets.sh release : TAG ou DELIVERED_SHA requis" >&2
+        return 2
+    fi
+    local msg="$_T"
     while IFS= read -r n; do
         [ -n "$n" ] || continue
-        if [[ "$TAG" == *-* ]]; then
-            _tr tk.prerelease "$TAG"
-            gh issue comment "$n" --body "$_T" >/dev/null
+        if [[ "$tag" == *-* ]]; then
+            gh issue comment "$n" --body "$msg" >/dev/null
         else
-            _tr tk.released "$TAG"
             statut "$n" "$S_DONE"
-            gh issue close "$n" --comment "$_T" >/dev/null
+            gh issue close "$n" --comment "$msg" >/dev/null
             nettoyer_branche "$n"
         fi
     done < <(gh issue list --state open --label "$S_PREPROD" --limit 500 --json number -q '.[].number')

package/ci/tickets.sh

@@ -12,8 +12,9 @@
 #   ci/tickets.sh push      premier push sur la branche d'un ticket : PR
 #                           brouillon ouverte, ticket en cours
 #   ci/tickets.sh revue     corrections demandées en revue → en cours
-#   ci/tickets.sh release   release publiée : tickets en préprod → done (fermés),
-#                           ou prévenus de la préversion
+#   ci/tickets.sh release   release publiée, ou livraison sur la branche
+#                           principale sans nouvelle version : tickets en
+#                           préprod → done (fermés) ; ou prévenus de la préversion
 #   ci/tickets.sh adopter   mise en route (tickets init) : tickets existants
 #                           rangés, branches des PR inscrites sur leurs tickets
 #
@@ -27,7 +28,7 @@
 # Variables : GH_TOKEN, GH_REPO, INTEGRATION ; pr : PR, ACTION, MERGED, DRAFT,
 # HEAD, BASE, HEAD_SHA, AUTHOR ; issue : ISSUE, ACTION, LABEL, STATE_REASON ;
 # push : PUSH_BRANCH, DELETED, PUSHER, SHA ; revue : PR, HEAD, REVIEW_STATE ;
-# release : TAG
+# release : TAG, ou DELIVERED_SHA et MAIN (livraison sans nouvelle version)
 set -euo pipefail
 
 REPOWARDEN_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"

package/hooks/commit-msg

@@ -74,13 +74,6 @@ Expected format: <type>(<optional scope>): <description>
         refactor!: change the public API   (! = breaking change)
 
 Types:
-EOF
-        types_help
-        cat >&2 <<EOF
-
-👉 Tip: name your branch <type>/<topic> (e.g. feat/user) and the prefix
-   is added automatically: git commit -m "add sign-up"  (or use git cc)
-   Your message is not lost: git commit -e -F .git/COMMIT_EDITMSG
 EOF
     else
         cat >&2 <<EOF
@@ -93,9 +86,22 @@ Format attendu : <type>(<scope optionnel>): <description>
 
 Types :
 EOF
-        types_help
+    fi
+    types_help
+    echo >&2
+    # HEAD détachée (bisect, essai, rebase) : pas de branche dont tirer le
+    # préfixe, le conseil de nommage ne s'applique pas
+    if ! git symbolic-ref -q HEAD >/dev/null; then
+        echo_t hook.commit_msg.detached >&2
+        echo_t hook.commit_msg.kept >&2
+    elif [ "${REPOWARDEN_LANG:-}" = en ]; then
+        cat >&2 <<EOF
+👉 Tip: name your branch <type>/<topic> (e.g. feat/user) and the prefix
+   is added automatically: git commit -m "add sign-up"  (or use git cc)
+   Your message is not lost: git commit -e -F .git/COMMIT_EDITMSG
+EOF
+    else
         cat >&2 <<EOF
-
 👉 Astuce : nomme ta branche <type>/<sujet> (ex. feat/user) et le préfixe
    sera ajouté automatiquement : git commit -m "ajoute l'inscription"  (ou git cc)
    Ton message n'est pas perdu : git commit -e -F .git/COMMIT_EDITMSG

package/hooks/lib/common.sh

@@ -218,6 +218,30 @@ header_valid() {
     [ "$REPLY" -le 72 ]
 }
 
+# Bots de mise à jour des dépendances : leurs titres (« bump <paquet> from X
+# to Y ») dépassent souvent 72 caractères ; seul leur format est exigé.
+BOTS='^[0-9]*\+?(dependabot|renovate)\[bot\]@'
+
+# Règle des en-têtes de commit, commune au pre-push et à la CI : même verdict,
+# même message, que le commit soit vu avant le push ou après.
+# REPLY = clé du message de refus de l'en-tête $1 (e-mail de l'auteur $2),
+# vide si l'en-tête est admis
+commit_subject_problem_r() {
+    if [[ "$1" =~ ^(fixup|squash|amend)! ]]; then
+        REPLY=ci.check.3
+    elif [[ "$1" =~ ^(Merge|Revert) ]]; then
+        REPLY=""
+    elif ! [[ "$1" =~ $CC_PATTERN ]]; then
+        REPLY=ci.check.4
+    elif [[ "$2" =~ $BOTS ]]; then
+        REPLY=""
+    elif authored_length "$1" && [ "$REPLY" -gt 72 ]; then
+        REPLY=ci.check.5
+    else
+        REPLY=""
+    fi
+}
+
 # REPLY = titre de PR conforme déduit de la branche $1 :
 #   feat/ajout-panier → « feat: ajout panier », hotfix/crash → « fix: crash »,
 #   release/1.2.0 → « chore(release): 1.2.0 », develop → livraison sur main
@@ -310,7 +334,6 @@ EOF
 
 Allowed exceptions: $allowed
   (change: git config repowarden.allowedBranches "main develop release/*")
-Disable for this repository: git config repowarden.skip branch-name
 EOF
     else
         cat >&2 <<EOF
@@ -333,7 +356,6 @@ EOF
 
 Exceptions autorisées : $allowed
   (modifier : git config repowarden.allowedBranches "main develop release/*")
-Désactiver pour ce dépôt : git config repowarden.skip branch-name
 EOF
     fi
 }
@@ -341,7 +363,7 @@ EOF
 # Vrai si l'élément est désactivé (repowarden.skip, git config ou .repowarden.conf).
 # Valeurs : true|all, ou liste séparée par espaces/virgules parmi
 # pre-commit prepare-commit-msg commit-msg pre-push post-checkout
-# branch-name protect-branch secrets format tests, ou un langage (node, python…)
+# branch-name protect-branch secrets sensitive-files format tests, ou un langage (node, python…)
 skipped() {
     local v
     cfg_r skip

package/hooks/lib/i18n/en.sh

@@ -50,6 +50,7 @@ _msg_en() {
         cc.refs_prompt_ticket) _M="References (\"-\" for none) [%s]: " ;;
         cc.refs_prompt) _M="References (e.g. %s; Enter for none): " ;;
         tk.cli.no_ticket) _M="Branch %s has no ticket: this work will not be linked to any ticket (not blocking)." ;;
+        tk.cli.explain) _M="Ticket: the GitHub issue each change starts from (branch type/<n>-topic, PR citing it); its lifecycle: https://simdevwarden.github.io/repowarden/en/tickets/" ;;
         tk.cli.propose) _M="Start it from a ticket: repowarden ticket nouveau \"<title>\"." ;;
         tk.cli.propose_cc) _M="Start it from a ticket: repowarden ticket nouveau \"<title>\" (or answer yes in git cc)." ;;
         tk.cli.silence) _M="Project without ticket tracking? git config repowarden.skip tickets to stop seeing this." ;;
@@ -62,6 +63,7 @@ _msg_en() {
         tk.cli.issue_created) _M="Ticket #%s created, awaiting validation. Its branch will be created on validation; then: repowarden ticket %s" ;;
         tk.cli.issue_created_branch) _M="Ticket #%s created." ;;
         tk.cli.title_required) _M="Ticket title required: repowarden ticket nouveau \"<title>\"" ;;
+        tk.cli.bad_type) _M="Unknown ticket type: %s (types: %s)" ;;
         tk.cli.current) _M="Branch %s: ticket #%s." ;;
         tk.cli.no_ticket_here) _M="No ticket for this branch." ;;
         cc.ticket_offer) _M="No ticket for this branch. Create one now (title: the description)? [y/N]: " ;;
@@ -130,7 +132,6 @@ _msg_en() {
         # Hooks and language plugins
         hook.pre_commit.1) _M="Commit refused: branch name does not follow the convention." ;;
         hook.pre_commit.2) _M="Direct commit on '%s' forbidden. Create a branch: git switch -c feat/my-feature" ;;
-        hook.pre_commit.3) _M="  (disable for this repository: git config repowarden.skip protect-branch)" ;;
         hook.pre_commit.4) _M="Secret detection (gitleaks)" ;;
         hook.pre_commit.5) _M="Secret detected: commit refused." ;;
         hook.secrets.where) _M="  %s:%s (%s)" ;;
@@ -141,7 +142,9 @@ _msg_en() {
         hook.secrets.todo_3) _M="  3. Key that may have leaked elsewhere (already pushed, shared): revoke it at its provider." ;;
         hook.secrets.todo_4) _M="  False positive: add its fingerprint to .gitleaksignore:" ;;
         hook.secrets.failed) _M="gitleaks failed (code %s): commit refused, secret detection not done." ;;
-        hook.pre_commit.6) _M="gitleaks not installed, secret detection skipped (install: %s)." ;;
+        hook.pre_commit.6) _M="gitleaks not installed: secrets not checked before the commit, the CI (secrets check) will do it. Install: %s" ;;
+        hook.sensitive.found) _M="Sensitive file neither tracked nor ignored: git add . would publish it. Lines to add to .gitignore:" ;;
+        hook.sensitive.hint) _M="  (names compared, content never read; patterns: repowarden.sensitiveFiles; disable: git config repowarden.skip sensitive-files)" ;;
         hook.pre_commit.7) _M="Pre-commit OK" ;;
         hook.commit_msg.1) _M="First line too long (%s > 72 characters)." ;;
         hook.commit_msg.type_unknown) _M="Unknown type \"%s\". Did you mean: %s" ;;
@@ -149,13 +152,16 @@ _msg_en() {
         hook.commit_msg.desc_empty) _M="Missing description after \"%s\": describe the change in the imperative mood." ;;
         hook.commit_msg.kept) _M="  Your message is not lost: git commit -e -F .git/COMMIT_EDITMSG" ;;
         hook.commit_msg.dot) _M="Final period removed from the description (same rule as git cc)." ;;
+        hook.commit_msg.detached) _M="👉 Detached HEAD (bisect, trial): no prefix comes from a branch, write the full header (e.g. fix: correct the total)." ;;
         hook.pre_push.1) _M="Push refused: branch name does not follow the convention." ;;
         hook.pre_push.2) _M="Direct push to '%s' refused: it only changes through pull requests." ;;
         hook.pre_push.3) _M="  Create a branch: git switch -c feat/my-feature, then open a PR." ;;
-        hook.pre_push.4) _M="  (disable for this repository: git config repowarden.skip protect-branch)" ;;
         hook.pre_push.5) _M="%s: no changed file, nothing to test." ;;
         hook.pre_push.6) _M="Nothing to test (branch deletion only)." ;;
         hook.pre_push.7) _M="Pre-push OK" ;;
+        hook.pre_push.msg) _M="Push refused: commit message does not follow the convention (same rule as CI)." ;;
+        hook.pre_push.msg_fix) _M="  Fix: git rebase -i %s (reword), then push again." ;;
+        hook.pre_push.nothing) _M="Nothing to push." ;;
         hook.pre_push.workflow_scope) _M="gh token without the 'workflow' scope: GitHub will refuse a push touching .github/workflows/. Allow it (then sign in again): gh auth refresh -h github.com -s workflow" ;;
         hook.pre_push.lint.missing) _M="%s not installed, %s not checked (install: %s)." ;;
         hook.pre_push.lint.run) _M="%s: %s" ;;
@@ -486,6 +492,10 @@ _msg_en() {
         st.repo_version_ok) _M="Version required by the project (%s): met" ;;
         st.repo_forge) _M="Platform: %s" ;;
         st.repo_rules) _M="GitHub rules up to date? repowarden proteger --verifier (read-only)" ;;
+        st.wf_owner) _M="%s:%s: repowarden called from another repository than the official one (%s); expected: %s" ;;
+        st.wf_branch) _M="%s:%s: repowarden called on a branch (@%s), broken as soon as it is deleted; expected: %s" ;;
+        st.wf_old) _M="%s:%s: repowarden called in an outdated major version (@%s); expected: %s" ;;
+        st.wf_fix) _M="fix the uses: lines reported above" ;;
         st.tools) _M="Tools present: %s · missing: %s (depending on the projects' languages)" ;;
         st.next) _M="Next step:" ;;
         st.ready) _M="All set: git cc to commit, repowarden code-mort on a branch." ;;
@@ -541,6 +551,7 @@ _msg_en() {
         bot.ignored) _M="ignored (bot = off)" ;;
         bot.mode_invalid) _M="bot = %s: auto, pr or off expected" ;;
         bot.clone_failed) _M="clone failed: %s" ;;
+        bot.email_fallback) _M="Bot user %s not found: commits signed %s, linked to no account (set REPOWARDEN_BOT_EMAIL to fix the address)." ;;
         bot.prot_ok) _M="up to date" ;;
         bot.prot_stale) _M="⚠ outdated: repowarden proteger" ;;
         bot.prot_applied) _M="✔ applied" ;;
@@ -654,6 +665,7 @@ _msg_en() {
         tk.init_next_wired) _M="Next: commit these files; require the \"ticket\" check (repowarden proteger --checks \"…,ticket\"). The tickets job of release.yml is already wired." ;;
         tk.prerelease) _M="Available in pre-release **%s**: to be tested before production." ;;
         tk.released) _M="Released in **%s**." ;;
+        tk.delivered) _M="Delivered to **%s**, without a new version (commit %s)." ;;
         # Ticket comment
         tk.comment.adding) _M="Adding comment to ticket #%s..." ;;
         tk.comment.added) _M="Comment added to ticket #%s." ;;

package/hooks/lib/i18n/fr.sh

@@ -50,6 +50,7 @@ _msg_fr() {
         cc.refs_prompt_ticket) _M="Références (« - » pour aucune) [%s] : " ;;
         cc.refs_prompt) _M="Références (ex. %s ; Entrée pour aucune) : " ;;
         tk.cli.no_ticket) _M="Branche %s sans ticket : ce travail ne sera relié à aucun ticket (non bloquant)." ;;
+        tk.cli.explain) _M="Ticket : issue GitHub d'où part chaque modification (branche type/<n°>-sujet, PR qui la cite) ; son cycle : https://simdevwarden.github.io/repowarden/tickets/" ;;
         tk.cli.propose) _M="Partir d'un ticket : repowarden ticket nouveau \"<titre>\"." ;;
         tk.cli.propose_cc) _M="Partir d'un ticket : repowarden ticket nouveau \"<titre>\" (ou réponds oui à git cc)." ;;
         tk.cli.silence) _M="Projet sans suivi de tickets ? git config repowarden.skip tickets pour ne plus le voir." ;;
@@ -62,6 +63,7 @@ _msg_fr() {
         tk.cli.issue_created) _M="Ticket #%s créé, à valider. Sa branche sera créée à la validation ; ensuite : repowarden ticket %s" ;;
         tk.cli.issue_created_branch) _M="Ticket #%s créé." ;;
         tk.cli.title_required) _M="Titre du ticket obligatoire : repowarden ticket nouveau \"<titre>\"" ;;
+        tk.cli.bad_type) _M="Type de ticket inconnu : %s (types : %s)" ;;
         tk.cli.current) _M="Branche %s : ticket #%s." ;;
         tk.cli.no_ticket_here) _M="Aucun ticket pour cette branche." ;;
         cc.ticket_offer) _M="Aucun ticket pour cette branche. En créer un maintenant (titre : la description) ? [o/N] : " ;;
@@ -109,7 +111,6 @@ _msg_fr() {
         # Hooks et plugins de langage
         hook.pre_commit.1) _M="Commit refusé : nom de branche non conforme." ;;
         hook.pre_commit.2) _M="Commit direct sur '%s' interdit. Crée une branche : git switch -c feat/ma-feature" ;;
-        hook.pre_commit.3) _M="  (désactiver pour ce dépôt : git config repowarden.skip protect-branch)" ;;
         hook.pre_commit.4) _M="Détection de secrets (gitleaks)" ;;
         hook.pre_commit.5) _M="Secret détecté : commit refusé." ;;
         hook.secrets.where) _M="  %s:%s (%s)" ;;
@@ -120,7 +121,9 @@ _msg_fr() {
         hook.secrets.todo_3) _M="  3. Clé qui a pu fuir ailleurs (déjà poussée, partagée) : la révoquer chez son fournisseur." ;;
         hook.secrets.todo_4) _M="  Faux positif : ajouter son empreinte à .gitleaksignore :" ;;
         hook.secrets.failed) _M="gitleaks en échec (code %s) : commit refusé, détection de secrets non faite." ;;
-        hook.pre_commit.6) _M="gitleaks absent, détection de secrets ignorée (installation : %s)." ;;
+        hook.pre_commit.6) _M="gitleaks absent : secrets non vérifiés avant le commit, la CI (vérification secrets) fera le contrôle. Installation : %s" ;;
+        hook.sensitive.found) _M="Fichier sensible ni suivi ni ignoré : un git add . le publierait. Lignes à ajouter à .gitignore :" ;;
+        hook.sensitive.hint) _M="  (noms comparés, contenu jamais lu ; motifs : repowarden.sensitiveFiles ; désactiver : git config repowarden.skip sensitive-files)" ;;
         hook.pre_commit.7) _M="Pre-commit OK" ;;
         hook.commit_msg.1) _M="Première ligne trop longue (%s > 72 caractères)." ;;
         hook.commit_msg.type_unknown) _M="Type « %s » inconnu. Voulais-tu : %s" ;;
@@ -128,13 +131,16 @@ _msg_fr() {
         hook.commit_msg.desc_empty) _M="Description manquante après « %s » : décris le changement à l'impératif." ;;
         hook.commit_msg.kept) _M="  Ton message n'est pas perdu : git commit -e -F .git/COMMIT_EDITMSG" ;;
         hook.commit_msg.dot) _M="Point final retiré de la description (même règle que git cc)." ;;
+        hook.commit_msg.detached) _M="👉 HEAD détachée (bisect, essai) : aucun préfixe ne vient d'une branche, écris l'en-tête complet (ex. fix: corrige le calcul)." ;;
         hook.pre_push.1) _M="Push refusé : nom de branche non conforme." ;;
         hook.pre_push.2) _M="Push direct refusé sur '%s' : elle n'évolue que par Pull Request." ;;
         hook.pre_push.3) _M="  Crée une branche : git switch -c feat/ma-feature, puis ouvre une PR." ;;
-        hook.pre_push.4) _M="  (désactiver pour ce dépôt : git config repowarden.skip protect-branch)" ;;
         hook.pre_push.5) _M="%s : aucun fichier modifié, rien à tester." ;;
         hook.pre_push.6) _M="Rien à tester (suppression de branche uniquement)." ;;
         hook.pre_push.7) _M="Pre-push OK" ;;
+        hook.pre_push.msg) _M="Push refusé : message de commit non conforme (même règle que la CI)." ;;
+        hook.pre_push.msg_fix) _M="  Corriger : git rebase -i %s (reword), puis relancer le push." ;;
+        hook.pre_push.nothing) _M="Rien à pousser." ;;
         hook.pre_push.workflow_scope) _M="Jeton gh sans le scope « workflow » : GitHub refusera un push touchant .github/workflows/. L'autoriser (puis se reconnecter) : gh auth refresh -h github.com -s workflow" ;;
         hook.pre_push.lint.missing) _M="%s absent, %s non vérifié (installation : %s)." ;;
         hook.pre_push.lint.run) _M="%s : %s" ;;
@@ -487,6 +493,10 @@ _msg_fr() {
         st.repo_version_ok) _M="Version demandée par le projet (%s) : respectée" ;;
         st.repo_forge) _M="Plateforme : %s" ;;
         st.repo_rules) _M="Règles GitHub à jour ? repowarden proteger --verifier (lecture seule)" ;;
+        st.wf_owner) _M="%s:%s : repowarden appelé depuis un autre dépôt que le dépôt officiel (%s) ; attendu : %s" ;;
+        st.wf_branch) _M="%s:%s : repowarden appelé sur une branche (@%s), cassé dès qu'elle disparaît ; attendu : %s" ;;
+        st.wf_old) _M="%s:%s : repowarden appelé dans une majeure dépassée (@%s) ; attendu : %s" ;;
+        st.wf_fix) _M="corriger les lignes uses: signalées ci-dessus" ;;
         st.tools) _M="Outils présents : %s · absents : %s (selon les langages des projets)" ;;
         st.next) _M="Étape suivante :" ;;
         st.ready) _M="Tout est prêt : git cc pour commiter, repowarden code-mort sur une branche." ;;
@@ -542,6 +552,7 @@ _msg_fr() {
         bot.ignored) _M="ignoré (bot = off)" ;;
         bot.mode_invalid) _M="bot = %s : auto, pr ou off attendu" ;;
         bot.clone_failed) _M="clone impossible : %s" ;;
+        bot.email_fallback) _M="Utilisateur bot %s introuvable : commits signés %s, rattachés à aucun compte (REPOWARDEN_BOT_EMAIL pour fixer l'adresse)." ;;
         bot.prot_ok) _M="à jour" ;;
         bot.prot_stale) _M="⚠ périmée : repowarden proteger" ;;
         bot.prot_applied) _M="✔ appliquée" ;;
@@ -655,6 +666,7 @@ _msg_fr() {
         tk.init_next_wired) _M="Ensuite : committer ces fichiers ; exiger la vérification « ticket » (repowarden proteger --checks \"…,ticket\"). Le job tickets de release.yml est déjà branché." ;;
         tk.prerelease) _M="Disponible en préversion **%s** : à tester avant la production." ;;
         tk.released) _M="Publié dans **%s**." ;;
+        tk.delivered) _M="Livré sur **%s**, sans nouvelle version (commit %s)." ;;
         # Ticket comment
         tk.comment.adding) _M="Ajout d'un commentaire sur le ticket #%s..." ;;
         tk.comment.added) _M="Commentaire ajouté au ticket #%s." ;;

package/hooks/lib/lang.sh

@@ -300,8 +300,11 @@ projects_for_files() {
 }
 
 # Lance les tests de chaque projet touché. Lecture des fichiers modifiés sur stdin.
+# $1 = resume (pre-push) : sortie de chaque lanceur gardée de côté ; succès →
+# sa dernière ligne seule (« 2 passed in 0.5s »), échec → sortie complète. Sans
+# argument (CI) : sortie complète, le journal sert au diagnostic.
 test_projects() {
-    local cmd dir p plugins key ran=0
+    local mode="${1:-}" cmd dir p plugins key ran=0 out="" line last rc
     cmd="$(cfg test)"
     if [ -n "$cmd" ]; then
         # Fichiers modifiés transmis sur l'entrée standard : la commande peut
@@ -326,13 +329,31 @@ test_projects() {
             ran=1
             if [ "$dir" = . ]; then key="$p"; else key="$p ($dir)"; fi
             info_t hook.lang.5 "$key"
-            if ! (cd "$dir" && "${p}_test") </dev/null; then
+            if [ "$mode" != resume ]; then
+                if ! (cd "$dir" && "${p}_test") </dev/null; then
+                    err_t hook.lang.6 "$key" >&2
+                    return 1
+                fi
+                continue
+            fi
+            [ -n "$out" ] || out="$(mktemp)"
+            rc=0
+            (cd "$dir" && "${p}_test") </dev/null >"$out" 2>&1 || rc=$?
+            if [ "$rc" -ne 0 ]; then
+                cat "$out"
+                rm -f "$out"
                 err_t hook.lang.6 "$key" >&2
                 return 1
             fi
+            last=""
+            while IFS= read -r line || [ -n "$line" ]; do
+                [ -n "${line//[[:space:]]/}" ] && last="$line"
+            done <"$out"
+            [ -z "$last" ] || printf '  %s\n' "$last"
         done
     done < <(projects_for_files)
 
+    [ -z "$out" ] || rm -f "$out"
     [ "$ran" = 1 ] || info_t hook.lang.7
     return 0
 }

package/hooks/lib/secrets.sh

@@ -47,3 +47,55 @@ secrets_report() {
         printf '%s' "$empreintes"
     fi
 }
+
+# REPLY = commande d'installation de gitleaks pour ce système (bash le connaît
+# sans sous-processus)
+gitleaks_install_r() {
+    case "${OSTYPE:-}" in
+        darwin*) REPLY="brew install gitleaks" ;;
+        msys* | cygwin* | win*) REPLY="winget install gitleaks" ;;
+        *) REPLY="https://github.com/gitleaks/gitleaks#installing" ;;
+    esac
+}
+
+# Noms de fichiers sensibles par défaut (réglage repowarden.sensitiveFiles)
+SENSITIVE_FILES_DEFAULT='.env .env.* *token* *secret* *.pem *.key id_rsa*'
+
+# REPLY = fichiers non suivis et non ignorés (.gitignore, .git/info/exclude,
+# exclusion globale) au nom sensible, un par ligne depuis la racine : un
+# « git add . » les publierait, et gitleaks ne les lit qu'une fois indexés.
+# Seul le nom est comparé (sans casse) : le contenu n'est jamais lu.
+# .env.example, modèle fait pour être versionné, n'est jamais signalé.
+sensitive_files_r() {
+    local f nom m trouves="" nocase=""
+    local -a motifs=()
+    cfg_r sensitiveFiles "$SENSITIVE_FILES_DEFAULT"
+    # read -a : motifs découpés sans être développés sur les fichiers présents
+    read -r -a motifs <<<"${REPLY//,/ }"
+    shopt -q nocasematch && nocase=1
+    shopt -s nocasematch
+    while IFS= read -r -d '' f; do
+        nom="${f##*/}"
+        [[ "$nom" != .env.example ]] || continue
+        for m in ${motifs[@]+"${motifs[@]}"}; do
+            # shellcheck disable=SC2053 # $m est un motif
+            if [[ "$nom" == $m ]]; then
+                trouves="$trouves${trouves:+$'\n'}$f"
+                break
+            fi
+        done
+    done < <(git -C "$GIT_TOPLEVEL" ls-files -z --others --exclude-standard 2>/dev/null)
+    [ -n "$nocase" ] || shopt -u nocasematch
+    REPLY="$trouves"
+}
+
+# Avertit, sans bloquer, des fichiers sensibles $1 (un par ligne, sortie de
+# sensitive_files_r) avec les lignes à ajouter à .gitignore
+sensitive_files_warn() {
+    local f
+    warn_t hook.sensitive.found
+    while IFS= read -r f; do
+        echo "    $f"
+    done <<<"$1"
+    echo_t hook.sensitive.hint
+}

package/hooks/lib/tickets.sh

@@ -12,6 +12,10 @@ S_ENCOURS="statut: en cours"
 S_RELECTURE="statut: en relecture"
 S_PREPROD="statut: préprod"
 S_DONE="statut: done"
+# Posée à l'ouverture : pas de validation d'office, un mainteneur décide
+A_DECIDER="à décider"
+# Types de ticket (étiquettes « type: … », préfixe de la branche)
+TYPES_TICKET="feat fix docs refactor chore"
 
 # Vrai si les étiquettes $1 (une par ligne) disent le travail terminé : mergé
 # (préprod) ou en production (done). Un tel ticket n'a plus de branche à créer.
@@ -171,6 +175,7 @@ ticket_hint() {
     branch_ticket_r "$branch"
     [ -z "$REPLY" ] || return 0
     attention_t tk.cli.no_ticket "$branch"
+    dim_t tk.cli.explain
     if tickets_managed && has gh; then
         # git cc ne propose de créer le ticket qu'avec ticketAutoCreate
         if ticket_auto_create; then dim_t tk.cli.propose_cc; else dim_t tk.cli.propose; fi

package/hooks/lib/ui.sh

@@ -56,5 +56,17 @@ repowarden_version_r() {
     fi
 }
 
+# REPLY = version majeure dont le tag flottant (vN) est publié, pour la
+# version $1 de repowarden : sa majeure ; préversion d'une nouvelle majeure
+# (X.0.0-next) : X-1, vX n'existant pas encore ; 0.0.0-dev (clone sans
+# tags) : vide. REPOWARDEN_MAJEURE l'impose (tests, clone sans tags).
+repowarden_majeure_r() {
+    if [ -n "${REPOWARDEN_MAJEURE:-}" ]; then REPLY="$REPOWARDEN_MAJEURE"; return; fi
+    if [ -z "$1" ] || [ "$1" = 0.0.0-dev ]; then REPLY=""; return; fi
+    REPLY="${1%%.*}"
+    REPLY="${REPLY%%-*}"
+    [[ "$1" != *.0.0-* ]] || REPLY=$((REPLY - 1))
+}
+
 # En-tête de marque
 brand() { echo "${UI_C}${UI_B}◆ repowarden${UI_N}${UI_D}${1:+ · $1}${UI_N}"; }

package/hooks/pre-commit

@@ -26,7 +26,6 @@ fi
 PROTECTED="$(cfg protectedBranches "main master")"
 if ! skipped protect-branch && [[ " $PROTECTED " == *" $BRANCH "* ]] && git rev-parse --verify -q HEAD >/dev/null; then
     err_t hook.pre_commit.2 "$BRANCH" >&2
-    echo_t hook.pre_commit.3 >&2
     exit 1
 fi
 
@@ -55,15 +54,18 @@ if ! skipped secrets; then
         fi
         rm -f "$rapport" "$journal"
     else
-        # Installation adaptée au système (bash le connaît sans sous-processus)
-        case "${OSTYPE:-}" in
-            darwin*) warn_t hook.pre_commit.6 "brew install gitleaks" ;;
-            msys* | cygwin* | win*) warn_t hook.pre_commit.6 "winget install gitleaks" ;;
-            *) warn_t hook.pre_commit.6 "https://github.com/gitleaks/gitleaks#installing" ;;
-        esac
+        gitleaks_install_r
+        warn_t hook.pre_commit.6 "$REPLY"
     fi
 fi
 
+# 2 bis. Fichier sensible ni suivi ni ignoré : un « git add . » le publierait
+# (avertissement seulement, contenu jamais lu)
+if ! skipped secrets && ! skipped sensitive-files; then
+    sensitive_files_r
+    [ -z "$REPLY" ] || sensitive_files_warn "$REPLY" >&2
+fi
+
 # 3. Formatage : chaque fichier stagé avec l'outil de son langage / projet
 if ! skipped format; then
     # Ne formater (et re-stager) que le contenu stagé, jamais le travail en cours

package/hooks/pre-push

@@ -41,13 +41,49 @@ if ! skipped protect-branch; then
         [[ "$remote_sha" =~ ^0+$ ]] && continue
         err_t hook.pre_push.2 "$branch" >&2
         echo_t hook.pre_push.3 >&2
-        echo_t hook.pre_push.4 >&2
         exit 1
     done <<<"$REFS"
 fi
 
 REMOTE="${1:-origin}"
 
+# Messages des commits poussés : même règle et mêmes messages que la CI, pour
+# un commit créé hors hooks (autre outil, rebase sans hooks, --no-verify).
+# Seuls les commits absents du remote sont vus : l'historique déjà poussé
+# n'est pas rejugé.
+if ! skipped commit-msg; then
+    MSG_BAD=""
+    while read -r _ local_sha remote_ref remote_sha; do
+        [[ "$remote_ref" == refs/heads/* ]] || continue
+        [[ "$local_sha" =~ ^0+$ ]] && continue
+        if [[ ! "$remote_sha" =~ ^0+$ ]] && git cat-file -e "$remote_sha^{commit}" 2>/dev/null; then
+            plage=("$remote_sha..$local_sha")
+        else
+            plage=("$local_sha" --not --remotes="$REMOTE")
+        fi
+        # Séparateur 0x1f (non blanc) : un champ vide ne décale pas les suivants
+        while IFS=$'\x1f' read -r sha email subject; do
+            [ -n "$sha" ] || continue
+            commit_subject_problem_r "$subject" "$email"
+            [ -n "$REPLY" ] || continue
+            [ -n "$MSG_BAD" ] || err_t hook.pre_push.msg
+            # git log va du plus récent au plus ancien : MSG_BAD finit sur le
+            # plus ancien commit fautif, point de départ de la correction
+            MSG_BAD="$sha"
+            _tr "$REPLY" "${sha:0:7}" "$subject"
+            echo "  $_T" >&2
+        done < <(git log --no-merges --format='%H%x1f%ae%x1f%s' "${plage[@]}")
+    done <<<"$REFS"
+    if [ -n "$MSG_BAD" ]; then
+        if git rev-parse -q --verify "$MSG_BAD^" >/dev/null; then
+            echo_t hook.pre_push.msg_fix "${MSG_BAD:0:7}^" >&2
+        else
+            echo_t hook.pre_push.msg_fix "--root" >&2
+        fi
+        exit 1
+    fi
+fi
+
 # Fichiers modifiés par le push de <sha> : depuis l'état distant connu, ou pour
 # une nouvelle branche depuis le dernier commit déjà présent sur le remote.
 changed_files() {
@@ -177,7 +213,8 @@ fi
 
 skipped tests && { info "Tests désactivés (repowarden.skip)."; exit 0; }
 
-run_tests_for() { test_projects <"$1"; }
+# Succès : une ligne de résumé par projet ; échec : sortie complète
+run_tests_for() { test_projects resume <"$1"; }
 
 TESTED=""
 CHANGED="$(git rev-parse --absolute-git-dir)/repowarden-changed-files"
@@ -196,5 +233,10 @@ while read -r _ local_sha _ remote_sha; do
 done <<<"$REFS"
 
 rm -f "$CHANGED"
-[ -n "$TESTED" ] || info_t hook.pre_push.6
+# Entrée vide : git n'a rien à envoyer (« Everything up-to-date »)
+if [ -z "$REFS" ]; then
+    info_t hook.pre_push.nothing
+elif [ -z "$TESTED" ]; then
+    info_t hook.pre_push.6
+fi
 ok_t hook.pre_push.7

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.10.2-next.1",
+  "version": "4.11.0-next.13",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",