repowarden 4.10.2 → 4.11.0-next.21

package/hooks/lib/i18n/fr.sh

@@ -50,11 +50,13 @@ _msg_fr() {
         cc.refs_prompt_ticket) _M="Références (« - » pour aucune) [%s] : " ;;
         cc.refs_prompt) _M="Références (ex. %s ; Entrée pour aucune) : " ;;
         tk.cli.no_ticket) _M="Branche %s sans ticket : ce travail ne sera relié à aucun ticket (non bloquant)." ;;
+        tk.cli.explain) _M="Ticket : issue GitHub d'où part chaque modification (branche type/<n°>-sujet, PR qui la cite) ; son cycle : https://simdevwarden.github.io/repowarden/tickets/" ;;
         tk.cli.propose) _M="Partir d'un ticket : repowarden ticket nouveau \"<titre>\"." ;;
         tk.cli.propose_cc) _M="Partir d'un ticket : repowarden ticket nouveau \"<titre>\" (ou réponds oui à git cc)." ;;
         tk.cli.silence) _M="Projet sans suivi de tickets ? git config repowarden.skip tickets pour ne plus le voir." ;;
         tk.cli.fetch) _M="Branche du ticket #%s…" ;;
         tk.cli.switched) _M="Sur la branche %s (ticket #%s)." ;;
+        tk.cli.unlinked) _M="Branche %s créée avant la validation : GitHub ne la lie pas au ticket #%s après coup, son lien est inscrit sur le ticket." ;;
         tk.cli.created_branch) _M="Branche %s créée depuis %s, liée au ticket #%s." ;;
         tk.cli.not_validated) _M="Ticket #%s pas encore validé : sa branche sera créée automatiquement à la validation (étiquette « %s »)." ;;
         tk.cli.closed) _M="Ticket #%s fermé : pas de branche à créer." ;;
@@ -62,6 +64,7 @@ _msg_fr() {
         tk.cli.issue_created) _M="Ticket #%s créé, à valider. Sa branche sera créée à la validation ; ensuite : repowarden ticket %s" ;;
         tk.cli.issue_created_branch) _M="Ticket #%s créé." ;;
         tk.cli.title_required) _M="Titre du ticket obligatoire : repowarden ticket nouveau \"<titre>\"" ;;
+        tk.cli.bad_type) _M="Type de ticket inconnu : %s (types : %s)" ;;
         tk.cli.current) _M="Branche %s : ticket #%s." ;;
         tk.cli.no_ticket_here) _M="Aucun ticket pour cette branche." ;;
         cc.ticket_offer) _M="Aucun ticket pour cette branche. En créer un maintenant (titre : la description) ? [o/N] : " ;;
@@ -109,7 +112,6 @@ _msg_fr() {
         # Hooks et plugins de langage
         hook.pre_commit.1) _M="Commit refusé : nom de branche non conforme." ;;
         hook.pre_commit.2) _M="Commit direct sur '%s' interdit. Crée une branche : git switch -c feat/ma-feature" ;;
-        hook.pre_commit.3) _M="  (désactiver pour ce dépôt : git config repowarden.skip protect-branch)" ;;
         hook.pre_commit.4) _M="Détection de secrets (gitleaks)" ;;
         hook.pre_commit.5) _M="Secret détecté : commit refusé." ;;
         hook.secrets.where) _M="  %s:%s (%s)" ;;
@@ -120,7 +122,9 @@ _msg_fr() {
         hook.secrets.todo_3) _M="  3. Clé qui a pu fuir ailleurs (déjà poussée, partagée) : la révoquer chez son fournisseur." ;;
         hook.secrets.todo_4) _M="  Faux positif : ajouter son empreinte à .gitleaksignore :" ;;
         hook.secrets.failed) _M="gitleaks en échec (code %s) : commit refusé, détection de secrets non faite." ;;
-        hook.pre_commit.6) _M="gitleaks absent, détection de secrets ignorée (installation : %s)." ;;
+        hook.pre_commit.6) _M="gitleaks absent : secrets non vérifiés avant le commit, la CI (vérification secrets) fera le contrôle. Installation : %s" ;;
+        hook.sensitive.found) _M="Fichier sensible ni suivi ni ignoré : un git add . le publierait. Lignes à ajouter à .gitignore :" ;;
+        hook.sensitive.hint) _M="  (noms comparés, contenu jamais lu ; motifs : repowarden.sensitiveFiles ; désactiver : git config repowarden.skip sensitive-files)" ;;
         hook.pre_commit.7) _M="Pre-commit OK" ;;
         hook.commit_msg.1) _M="Première ligne trop longue (%s > 72 caractères)." ;;
         hook.commit_msg.type_unknown) _M="Type « %s » inconnu. Voulais-tu : %s" ;;
@@ -128,13 +132,16 @@ _msg_fr() {
         hook.commit_msg.desc_empty) _M="Description manquante après « %s » : décris le changement à l'impératif." ;;
         hook.commit_msg.kept) _M="  Ton message n'est pas perdu : git commit -e -F .git/COMMIT_EDITMSG" ;;
         hook.commit_msg.dot) _M="Point final retiré de la description (même règle que git cc)." ;;
+        hook.commit_msg.detached) _M="👉 HEAD détachée (bisect, essai) : aucun préfixe ne vient d'une branche, écris l'en-tête complet (ex. fix: corrige le calcul)." ;;
         hook.pre_push.1) _M="Push refusé : nom de branche non conforme." ;;
         hook.pre_push.2) _M="Push direct refusé sur '%s' : elle n'évolue que par Pull Request." ;;
         hook.pre_push.3) _M="  Crée une branche : git switch -c feat/ma-feature, puis ouvre une PR." ;;
-        hook.pre_push.4) _M="  (désactiver pour ce dépôt : git config repowarden.skip protect-branch)" ;;
         hook.pre_push.5) _M="%s : aucun fichier modifié, rien à tester." ;;
         hook.pre_push.6) _M="Rien à tester (suppression de branche uniquement)." ;;
         hook.pre_push.7) _M="Pre-push OK" ;;
+        hook.pre_push.msg) _M="Push refusé : message de commit non conforme (même règle que la CI)." ;;
+        hook.pre_push.msg_fix) _M="  Corriger : git rebase -i %s (reword), puis relancer le push." ;;
+        hook.pre_push.nothing) _M="Rien à pousser." ;;
         hook.pre_push.workflow_scope) _M="Jeton gh sans le scope « workflow » : GitHub refusera un push touchant .github/workflows/. L'autoriser (puis se reconnecter) : gh auth refresh -h github.com -s workflow" ;;
         hook.pre_push.lint.missing) _M="%s absent, %s non vérifié (installation : %s)." ;;
         hook.pre_push.lint.run) _M="%s : %s" ;;
@@ -238,7 +245,7 @@ _msg_fr() {
         help.code-mort) _M="Usage : repowarden code-mort [base]\n\nCode mort introduit par ta branche, comme en CI : seules les lignes ajoutées\nou modifiées depuis la base comptent (commits, modifications en cours,\nnouveaux fichiers). Défaut : point de départ de la branche depuis origin/main.\nVoir docs/code-mort.md : ce qui est prouvé (bloquant) et ce qui est candidat." ;;
         help.ticket) _M="Usage : repowarden ticket <n>                          branche du ticket (créée, liée, si besoin)\n        repowarden ticket                              ticket de la branche courante\n        repowarden ticket nouveau \"<titre>\" [--type fix] [--description \"…\"]\n        repowarden ticket comment <n> \"<texte>\"        commentaire sur le ticket\n        repowarden ticket label <n> <label> [--remove] labels du ticket\n\nLe ticket d'abord : prendre <n> l'assigne à toi et place sur sa branche\n(créée depuis develop au besoin) ; nouveau crée le ticket (« à valider » si\nle suivi est géré par repowarden). Demande gh connecté (https://cli.github.com)." ;;
         help.tickets) _M="Usage : repowarden tickets init [--repo propriétaire/nom] [--sans-validation-auto]\n        repowarden tickets sync\n\nPrépare le suivi des tickets d'un dépôt GitHub (relançable sans risque) :\nétiquettes (« validé », statuts et types, préfixe des branches), modèle de\nticket, workflow ; tickets existants rangés ; branches des PR inscrites sur\nleurs tickets. sync : branches locales des tickets qui me sont assignés\n(automatique avec ticketSync = auto, défaut manual)." ;;
-        help.pr) _M="Usage : repowarden pr label <n> <label> [--remove]\n        repowarden pr checks <n>\n\nlabel ajoute ou retire un label sur la PR #<n> ; checks affiche l'état de\nses checks (nom, conclusion, statut, lien).\nExemples :\n  repowarden pr label 123 \"ready-for-review\"\n  repowarden pr label 123 \"needs-changes\" --remove\n  repowarden pr checks 123" ;;
+        help.pr) _M="Usage : repowarden pr label <n> <label> [--remove]\n        repowarden pr checks <n>\n\nlabel ajoute ou retire un label sur la PR #<n> ; checks liste ses jobs en\néchec (avec leur lien) et en attente, puis le verdict ; code 1 si un job échoue.\nExemples :\n  repowarden pr label 123 \"ready-for-review\"\n  repowarden pr label 123 \"needs-changes\" --remove\n  repowarden pr checks 123" ;;
         help.run) _M="Usage : repowarden run rerun <run-id|--failed|--workflow <nom>>\n        repowarden run list [--workflow <nom>] [--limit N]\n\nrerun relance un workflow GitHub Actions : un run par son id, le dernier\néchoué (--failed) ou le dernier d'un workflow (--workflow) ; list affiche\nles runs récents (--limit, défaut 20).\nExemples :\n  repowarden run rerun --failed\n  repowarden run list --workflow \"CI\" --limit 10" ;;
         help.proteger) _M="Usage : repowarden proteger [--repo propriétaire/nom] [--checks \"repowarden,tests (ubuntu-latest)\"]\n        [--relecteurs N] [--codeowners] [--environnement NOM] [--approbateurs \"login …\"]\n        [--sans-tags] [--dry-run] [--verifier]\n\nProtège le dépôt GitHub courant d'après .repowarden.conf (relançable sans\nrisque) : PR obligatoire, vérifications exigées, ni suppression ni push forcé\n(ruleset « repowarden »), merge squash, tags v* réservés aux workflows,\nvalidation humaine optionnelle. --verifier compare les règles en ligne sans\nrien modifier. Réglages équivalents dans .repowarden.conf. Demande gh et les\ndroits d'administration du dépôt." ;;
         help.migrer) _M="Usage : repowarden migrer [--pr] [--hooks]\n\nPassage de repogarde à repowarden dans le projet courant\n(docs/migration-v4.md) : configuration (.repowarden.conf, .repowarden/),\nworkflows (uses: vers le dépôt repowarden et sa version majeure, anciens\nnoms), puis la liste de ce qui reste à faire à la main. Relançable : rien\nn'est fait deux fois.\n  --pr     sur la branche chore/migration-repowarden-vN : commit, push et PR\n  --hooks  déplace aussi les hooks lefthook résiduels dans .git/hooks-lefthook/" ;;
@@ -288,6 +295,11 @@ _msg_fr() {
         ci.fix_pr.2) _M="PR #%s reciblée : %s → %s (flux %s)" ;;
         ci.fix_pr.3) _M="Titre conforme : %s" ;;
         ci.fix_pr.4) _M="Titre « %s » remplacé par « %s »" ;;
+        ci.verrous_pip.compile) _M="Verrou %s : commande de son en-tête relancée" ;;
+        ci.verrous_pip.refused) _M="Verrou %s ignoré : la sortie de la commande de son en-tête n'est pas ce fichier" ;;
+        ci.verrous_pip.compliant) _M="Verrous pip conformes à leur en-tête : aucun commit" ;;
+        ci.verrous_pip.committed) _M="Verrous régénérés et commités : %s" ;;
+        ci.verrous_pip.pushed) _M="Commit poussé sur %s" ;;
         ci.version.1) _M="version annoncée par la PR de livraison" ;;
         ci.version.2) _M="Aucun feat, fix, perf ni changement incompatible depuis %s : pas de version." ;;
         ci.version.3) _M="première version" ;;
@@ -421,6 +433,12 @@ _msg_fr() {
         dc.knip_file) _M="fichier jamais importé" ;;
         dc.knip_export) _M="export jamais importé :" ;;
         dc.knip_dep) _M="dépendance jamais importée :" ;;
+        # Fonctions ajoutées sans commentaire
+        cm.section) _M="Fonctions sans commentaire (nouveau code uniquement)" ;;
+        cm.no_base) _M="Pas de base : contrôle des commentaires ignoré." ;;
+        cm.missing) _M="%s : fonction %s sans commentaire juste au-dessus" ;;
+        cm.summary) _M="%s fonction(s) ajoutée(s) sans commentaire : une à deux lignes juste au-dessus, qui disent ce qu'elle fait et pourquoi (avertissement, non bloquant)." ;;
+        cm.none) _M="Chaque fonction ajoutée est commentée." ;;
         ci.section.commits) _M="Messages de commit (Conventional Commits)" ;;
         ci.section.branch) _M="Nom de branche" ;;
         ci.section.secrets) _M="Secrets (gitleaks)" ;;
@@ -487,6 +505,10 @@ _msg_fr() {
         st.repo_version_ok) _M="Version demandée par le projet (%s) : respectée" ;;
         st.repo_forge) _M="Plateforme : %s" ;;
         st.repo_rules) _M="Règles GitHub à jour ? repowarden proteger --verifier (lecture seule)" ;;
+        st.wf_owner) _M="%s:%s : repowarden appelé depuis un autre dépôt que le dépôt officiel (%s) ; attendu : %s" ;;
+        st.wf_branch) _M="%s:%s : repowarden appelé sur une branche (@%s), cassé dès qu'elle disparaît ; attendu : %s" ;;
+        st.wf_old) _M="%s:%s : repowarden appelé dans une majeure dépassée (@%s) ; attendu : %s" ;;
+        st.wf_fix) _M="corriger les lignes uses: signalées ci-dessus" ;;
         st.tools) _M="Outils présents : %s · absents : %s (selon les langages des projets)" ;;
         st.next) _M="Étape suivante :" ;;
         st.ready) _M="Tout est prêt : git cc pour commiter, repowarden code-mort sur une branche." ;;
@@ -542,6 +564,7 @@ _msg_fr() {
         bot.ignored) _M="ignoré (bot = off)" ;;
         bot.mode_invalid) _M="bot = %s : auto, pr ou off attendu" ;;
         bot.clone_failed) _M="clone impossible : %s" ;;
+        bot.email_fallback) _M="Utilisateur bot %s introuvable : commits signés %s, rattachés à aucun compte (REPOWARDEN_BOT_EMAIL pour fixer l'adresse)." ;;
         bot.prot_ok) _M="à jour" ;;
         bot.prot_stale) _M="⚠ périmée : repowarden proteger" ;;
         bot.prot_applied) _M="✔ appliquée" ;;
@@ -634,6 +657,7 @@ _msg_fr() {
         tk.pr_backmerge_empty) _M="PR fermée automatiquement : \`%s\` n'apporte aucun contenu à \`%s\`. Le retour est fait automatiquement après une release, seulement quand il y a quelque chose à rapporter." ;;
         tk.pr_delivery_manual) _M="PR fermée automatiquement : la livraison \`%s\` → \`%s\` est ouverte par le workflow de release ; une PR ouverte à la main n'aurait jamais d'approbation de déploiement. Lancer *Actions → release → Run workflow* sur \`%s\` (ou \`gh workflow run release.yml --ref %s\`), puis **Approve and deploy** sur le run." ;;
         tk.branch_registered) _M="Branche du ticket : \`%s\`." ;;
+        tk.branch_unlinked) _M="Branche du ticket : [\`%s\`](%s). Créée avant la validation du ticket : GitHub ne lie pas une branche existante, elle n'apparaît donc pas dans « Development » ; ce commentaire en garde le lien." ;;
         tk.branch_second) _M="Seconde branche pour ce ticket : \`%s\` (déjà : %s). Un ticket, une branche : regrouper le travail, ou ouvrir un ticket séparé." ;;
         tk.adopted) _M="Tickets existants : %s rangé(s), %s branche(s) inscrite(s)." ;;
         tk.init_adopt) _M="Tickets et branches existants" ;;
@@ -642,6 +666,8 @@ _msg_fr() {
         tk.branch_kept) _M="Branche \`%s\` gardée : %s commit(s) absent(s) de la branche d'intégration, PR ouverte(s) : %s. À supprimer à la main si le travail est ailleurs." ;;
         tk.draft_opened) _M="PR #%s ouverte en brouillon pour le ticket #%s" ;;
         tk.draft_updated) _M="PR #%s (ticket #%s) : titre et description repris du ticket" ;;
+        tk.pr_additions) _M="Ajouts du ticket" ;;
+        tk.pr_design) _M="Conception (résumé)" ;;
         tk.created_body) _M="Ticket créé automatiquement pour la PR #%s, qui n'en citait aucun. À valider par un mainteneur (étiquette « validé »)." ;;
         tk.created) _M="Ticket #%s créé pour la PR #%s et relié à sa description : à valider par un mainteneur." ;;
         tk.init_labels) _M="Étiquettes (statuts et validation)" ;;
@@ -655,6 +681,8 @@ _msg_fr() {
         tk.init_next_wired) _M="Ensuite : committer ces fichiers ; exiger la vérification « ticket » (repowarden proteger --checks \"…,ticket\"). Le job tickets de release.yml est déjà branché." ;;
         tk.prerelease) _M="Disponible en préversion **%s** : à tester avant la production." ;;
         tk.released) _M="Publié dans **%s**." ;;
+        tk.footer) _M="Message de l'App GitHub de ce dépôt ([doc repowarden](https://simdevwarden.github.io/repowarden/industrialisation/#github-app-des-workflows)) : [%s](https://github.com/apps/%s)" ;;
+        tk.delivered) _M="Livré sur **%s**, sans nouvelle version (commit %s)." ;;
         # Ticket comment
         tk.comment.adding) _M="Ajout d'un commentaire sur le ticket #%s..." ;;
         tk.comment.added) _M="Commentaire ajouté au ticket #%s." ;;
@@ -680,6 +708,11 @@ _msg_fr() {
         run.listing.workflow) _M="Liste des runs du workflow « %s »..." ;;
         # PR checks
         pr.checks.checking) _M="Vérification des checks de la PR #%s..." ;;
+        pr.checks.failed) _M="En échec : %s  %s" ;;
+        pr.checks.pending) _M="En attente : %s" ;;
+        pr.checks.verdict) _M="PR #%s : %s réussi(s), %s en échec, %s en attente." ;;
+        pr.checks.green) _M="Tous les checks de la PR #%s sont verts." ;;
+        pr.checks.none) _M="Aucun check sur la PR #%s." ;;
         # Garde-fou des agents IA (repowarden garde, repowarden agents)
         garde.format) _M="Format inconnu « %s » : claude ou opencode." ;;
         garde.no_jq) _M="repowarden garde : jq absent, action non vérifiée (installer jq : https://jqlang.org)." ;;

package/hooks/lib/lang.sh

@@ -54,6 +54,9 @@ done
 # Détection de code mort (fonctions <plugin>_deadcode des plugins ci-dessus)
 # shellcheck source=deadcode.sh
 source "$(dirname "${BASH_SOURCE[0]}")/deadcode.sh"
+# Fonctions ajoutées sans commentaire (pre-commit et CI)
+# shellcheck source=commentaires.sh
+source "$(dirname "${BASH_SOURCE[0]}")/commentaires.sh"
 unset _plugin
 
 # --- Détection ---------------------------------------------------------------
@@ -300,8 +303,11 @@ projects_for_files() {
 }
 
 # Lance les tests de chaque projet touché. Lecture des fichiers modifiés sur stdin.
+# $1 = resume (pre-push) : sortie de chaque lanceur gardée de côté ; succès →
+# sa dernière ligne seule (« 2 passed in 0.5s »), échec → sortie complète. Sans
+# argument (CI) : sortie complète, le journal sert au diagnostic.
 test_projects() {
-    local cmd dir p plugins key ran=0
+    local mode="${1:-}" cmd dir p plugins key ran=0 out="" line last rc
     cmd="$(cfg test)"
     if [ -n "$cmd" ]; then
         # Fichiers modifiés transmis sur l'entrée standard : la commande peut
@@ -326,13 +332,31 @@ test_projects() {
             ran=1
             if [ "$dir" = . ]; then key="$p"; else key="$p ($dir)"; fi
             info_t hook.lang.5 "$key"
-            if ! (cd "$dir" && "${p}_test") </dev/null; then
+            if [ "$mode" != resume ]; then
+                if ! (cd "$dir" && "${p}_test") </dev/null; then
+                    err_t hook.lang.6 "$key" >&2
+                    return 1
+                fi
+                continue
+            fi
+            [ -n "$out" ] || out="$(mktemp)"
+            rc=0
+            (cd "$dir" && "${p}_test") </dev/null >"$out" 2>&1 || rc=$?
+            if [ "$rc" -ne 0 ]; then
+                cat "$out"
+                rm -f "$out"
                 err_t hook.lang.6 "$key" >&2
                 return 1
             fi
+            last=""
+            while IFS= read -r line || [ -n "$line" ]; do
+                [ -n "${line//[[:space:]]/}" ] && last="$line"
+            done <"$out"
+            [ -z "$last" ] || printf '  %s\n' "$last"
         done
     done < <(projects_for_files)
 
+    [ -z "$out" ] || rm -f "$out"
     [ "$ran" = 1 ] || info_t hook.lang.7
     return 0
 }

package/hooks/lib/secrets.sh

@@ -47,3 +47,55 @@ secrets_report() {
         printf '%s' "$empreintes"
     fi
 }
+
+# REPLY = commande d'installation de gitleaks pour ce système (bash le connaît
+# sans sous-processus)
+gitleaks_install_r() {
+    case "${OSTYPE:-}" in
+        darwin*) REPLY="brew install gitleaks" ;;
+        msys* | cygwin* | win*) REPLY="winget install gitleaks" ;;
+        *) REPLY="https://github.com/gitleaks/gitleaks#installing" ;;
+    esac
+}
+
+# Noms de fichiers sensibles par défaut (réglage repowarden.sensitiveFiles)
+SENSITIVE_FILES_DEFAULT='.env .env.* *token* *secret* *.pem *.key id_rsa*'
+
+# REPLY = fichiers non suivis et non ignorés (.gitignore, .git/info/exclude,
+# exclusion globale) au nom sensible, un par ligne depuis la racine : un
+# « git add . » les publierait, et gitleaks ne les lit qu'une fois indexés.
+# Seul le nom est comparé (sans casse) : le contenu n'est jamais lu.
+# .env.example, modèle fait pour être versionné, n'est jamais signalé.
+sensitive_files_r() {
+    local f nom m trouves="" nocase=""
+    local -a motifs=()
+    cfg_r sensitiveFiles "$SENSITIVE_FILES_DEFAULT"
+    # read -a : motifs découpés sans être développés sur les fichiers présents
+    read -r -a motifs <<<"${REPLY//,/ }"
+    shopt -q nocasematch && nocase=1
+    shopt -s nocasematch
+    while IFS= read -r -d '' f; do
+        nom="${f##*/}"
+        [[ "$nom" != .env.example ]] || continue
+        for m in ${motifs[@]+"${motifs[@]}"}; do
+            # shellcheck disable=SC2053 # $m est un motif
+            if [[ "$nom" == $m ]]; then
+                trouves="$trouves${trouves:+$'\n'}$f"
+                break
+            fi
+        done
+    done < <(git -C "$GIT_TOPLEVEL" ls-files -z --others --exclude-standard 2>/dev/null)
+    [ -n "$nocase" ] || shopt -u nocasematch
+    REPLY="$trouves"
+}
+
+# Avertit, sans bloquer, des fichiers sensibles $1 (un par ligne, sortie de
+# sensitive_files_r) avec les lignes à ajouter à .gitignore
+sensitive_files_warn() {
+    local f
+    warn_t hook.sensitive.found
+    while IFS= read -r f; do
+        echo "    $f"
+    done <<<"$1"
+    echo_t hook.sensitive.hint
+}

package/hooks/lib/tickets.sh

@@ -12,6 +12,10 @@ S_ENCOURS="statut: en cours"
 S_RELECTURE="statut: en relecture"
 S_PREPROD="statut: préprod"
 S_DONE="statut: done"
+# Posée à l'ouverture : pas de validation d'office, un mainteneur décide
+A_DECIDER="à décider"
+# Types de ticket (étiquettes « type: … », préfixe de la branche)
+TYPES_TICKET="feat fix docs refactor chore"
 
 # Vrai si les étiquettes $1 (une par ligne) disent le travail terminé : mergé
 # (préprod) ou en production (done). Un tel ticket n'a plus de branche à créer.
@@ -108,6 +112,49 @@ ticket_type_r() {
     done <<<"$1"
 }
 
+# Registre des branches d'un ticket : repère invisible dans les commentaires
+# du bot. GitHub ne lie une branche au ticket qu'à sa création, et une branche
+# liée supprimée y perd son nom : le registre garde le nom de chaque branche.
+REPERE="repowarden:branche"
+
+repere() { printf '<!-- %s %s -->' "$REPERE" "$1"; }
+
+# REPLY = branches inscrites sur le ticket $1 (séparées par des espaces)
+branches_inscrites_r() {
+    local corps
+    corps="$(gh issue view "$1" --json comments -q '.comments[].body' 2>/dev/null || true)"
+    REPLY="$(grep -oE "<!-- $REPERE [^ ]+ -->" <<<"$corps" | awk '{ printf "%s ", $3 }' || true)"
+    REPLY="${REPLY% }"
+}
+
+# REPLY = adresse de la branche $2 si elle n'est pas liée au ticket $1, vide si
+# elle l'est ou si GitHub ne répond pas (dans le doute, on ne signale rien)
+ticket_unlinked_branch_url_r() {
+    local lignes url
+    REPLY=""
+    # shellcheck disable=SC2016 # variables GraphQL, pas du shell
+    lignes="$(gh api graphql -F owner='{owner}' -F repo='{repo}' -F n="$1" -f query='query($owner: String!, $repo: String!, $n: Int!) {
+  repository(owner: $owner, name: $repo) { url issue(number: $n) { linkedBranches(first: 50) { nodes { ref { name } } } } }
+}' -q '.data.repository.url, .data.repository.issue.linkedBranches.nodes[].ref.name' 2>/dev/null)" || return 0
+    url="${lignes%%$'\n'*}"
+    [ -n "$url" ] || return 0
+    grep -qxF "$2" <<<"$lignes" || REPLY="$url/tree/$2"
+}
+
+# Branche $2 du ticket $1 créée avant sa validation : GitHub ne lie pas une
+# branche existante (createLinkedBranch répond null), son lien est donc inscrit
+# sur le ticket, une seule fois. Vrai si le commentaire a été posté.
+ticket_note_unlinked_branch() {
+    local n="$1" b="$2" url
+    ticket_unlinked_branch_url_r "$n" "$b"
+    url="$REPLY"
+    [ -n "$url" ] || return 1
+    branches_inscrites_r "$n"
+    [[ " $REPLY " != *" $b "* ]] || return 1
+    _tr tk.branch_unlinked "$b" "$url"
+    gh issue comment "$n" --body "$_T"$'\n\n'"$(repere "$b")" >/dev/null
+}
+
 # Vrai si la branche $1 est une branche de travail : ni protégée, ni une
 # exception (main, develop, branches des bots…)
 work_branch() {
@@ -164,13 +211,21 @@ ticket_auto_create() {
 # Branche de travail sans ticket : avertissement, jamais bloquant. Création
 # proposée seulement si repowarden gère la vie des tickets du projet (et que
 # gh est là pour la faire) ; sinon, comment faire taire l'avertissement.
+# Projet sans suivi géré : une fois par branche seulement (le répéter à chaque
+# commit n'apprend rien), mémorisé dans la config locale de la branche, que git
+# efface avec elle.
 ticket_hint() {
     local branch="$1"
     skipped tickets && return 0
     work_branch "$branch" || return 0
     branch_ticket_r "$branch"
     [ -z "$REPLY" ] || return 0
+    if ! tickets_managed; then
+        [ "$(git config --get "branch.$branch.repowardenTicketWarned" 2>/dev/null)" != true ] || return 0
+        git config "branch.$branch.repowardenTicketWarned" true 2>/dev/null || true
+    fi
     attention_t tk.cli.no_ticket "$branch"
+    dim_t tk.cli.explain
     if tickets_managed && has gh; then
         # git cc ne propose de créer le ticket qu'avec ticketAutoCreate
         if ticket_auto_create; then dim_t tk.cli.propose_cc; else dim_t tk.cli.propose; fi

package/hooks/lib/ui.sh

@@ -56,5 +56,17 @@ repowarden_version_r() {
     fi
 }
 
+# REPLY = version majeure dont le tag flottant (vN) est publié, pour la
+# version $1 de repowarden : sa majeure ; préversion d'une nouvelle majeure
+# (X.0.0-next) : X-1, vX n'existant pas encore ; 0.0.0-dev (clone sans
+# tags) : vide. REPOWARDEN_MAJEURE l'impose (tests, clone sans tags).
+repowarden_majeure_r() {
+    if [ -n "${REPOWARDEN_MAJEURE:-}" ]; then REPLY="$REPOWARDEN_MAJEURE"; return; fi
+    if [ -z "$1" ] || [ "$1" = 0.0.0-dev ]; then REPLY=""; return; fi
+    REPLY="${1%%.*}"
+    REPLY="${REPLY%%-*}"
+    [[ "$1" != *.0.0-* ]] || REPLY=$((REPLY - 1))
+}
+
 # En-tête de marque
 brand() { echo "${UI_C}${UI_B}◆ repowarden${UI_N}${UI_D}${1:+ · $1}${UI_N}"; }

package/hooks/pre-commit

@@ -1,6 +1,7 @@
 #!/usr/bin/env bash
 # Hook pre-commit : bloque les commits directs sur main, détecte les secrets,
-# puis formate les fichiers stagés selon le(s) langage(s) détecté(s).
+# formate les fichiers stagés selon le(s) langage(s) détecté(s), puis signale
+# les fonctions ajoutées sans commentaire.
 set -euo pipefail
 
 source "$(dirname "$0")/lib/common.sh"
@@ -26,7 +27,6 @@ fi
 PROTECTED="$(cfg protectedBranches "main master")"
 if ! skipped protect-branch && [[ " $PROTECTED " == *" $BRANCH "* ]] && git rev-parse --verify -q HEAD >/dev/null; then
     err_t hook.pre_commit.2 "$BRANCH" >&2
-    echo_t hook.pre_commit.3 >&2
     exit 1
 fi
 
@@ -55,15 +55,18 @@ if ! skipped secrets; then
         fi
         rm -f "$rapport" "$journal"
     else
-        # Installation adaptée au système (bash le connaît sans sous-processus)
-        case "${OSTYPE:-}" in
-            darwin*) warn_t hook.pre_commit.6 "brew install gitleaks" ;;
-            msys* | cygwin* | win*) warn_t hook.pre_commit.6 "winget install gitleaks" ;;
-            *) warn_t hook.pre_commit.6 "https://github.com/gitleaks/gitleaks#installing" ;;
-        esac
+        gitleaks_install_r
+        warn_t hook.pre_commit.6 "$REPLY"
     fi
 fi
 
+# 2 bis. Fichier sensible ni suivi ni ignoré : un « git add . » le publierait
+# (avertissement seulement, contenu jamais lu)
+if ! skipped secrets && ! skipped sensitive-files; then
+    sensitive_files_r
+    [ -z "$REPLY" ] || sensitive_files_warn "$REPLY" >&2
+fi
+
 # 3. Formatage : chaque fichier stagé avec l'outil de son langage / projet
 if ! skipped format; then
     # Ne formater (et re-stager) que le contenu stagé, jamais le travail en cours
@@ -72,4 +75,10 @@ if ! skipped format; then
     restore_unstaged
 fi
 
+# 4. Fonctions ajoutées sans commentaire juste au-dessus (avertissement seulement,
+# après le formatage : les lignes signalées sont celles du commit)
+if ! skipped comments && git rev-parse -q --verify HEAD >/dev/null; then
+    comments_check HEAD ""
+fi
+
 ok_t hook.pre_commit.7

package/hooks/pre-push

@@ -41,13 +41,49 @@ if ! skipped protect-branch; then
         [[ "$remote_sha" =~ ^0+$ ]] && continue
         err_t hook.pre_push.2 "$branch" >&2
         echo_t hook.pre_push.3 >&2
-        echo_t hook.pre_push.4 >&2
         exit 1
     done <<<"$REFS"
 fi
 
 REMOTE="${1:-origin}"
 
+# Messages des commits poussés : même règle et mêmes messages que la CI, pour
+# un commit créé hors hooks (autre outil, rebase sans hooks, --no-verify).
+# Seuls les commits absents du remote sont vus : l'historique déjà poussé
+# n'est pas rejugé.
+if ! skipped commit-msg; then
+    MSG_BAD=""
+    while read -r _ local_sha remote_ref remote_sha; do
+        [[ "$remote_ref" == refs/heads/* ]] || continue
+        [[ "$local_sha" =~ ^0+$ ]] && continue
+        if [[ ! "$remote_sha" =~ ^0+$ ]] && git cat-file -e "$remote_sha^{commit}" 2>/dev/null; then
+            plage=("$remote_sha..$local_sha")
+        else
+            plage=("$local_sha" --not --remotes="$REMOTE")
+        fi
+        # Séparateur 0x1f (non blanc) : un champ vide ne décale pas les suivants
+        while IFS=$'\x1f' read -r sha email subject; do
+            [ -n "$sha" ] || continue
+            commit_subject_problem_r "$subject" "$email"
+            [ -n "$REPLY" ] || continue
+            [ -n "$MSG_BAD" ] || err_t hook.pre_push.msg
+            # git log va du plus récent au plus ancien : MSG_BAD finit sur le
+            # plus ancien commit fautif, point de départ de la correction
+            MSG_BAD="$sha"
+            _tr "$REPLY" "${sha:0:7}" "$subject"
+            echo "  $_T" >&2
+        done < <(git log --no-merges --format='%H%x1f%ae%x1f%s' "${plage[@]}")
+    done <<<"$REFS"
+    if [ -n "$MSG_BAD" ]; then
+        if git rev-parse -q --verify "$MSG_BAD^" >/dev/null; then
+            echo_t hook.pre_push.msg_fix "${MSG_BAD:0:7}^" >&2
+        else
+            echo_t hook.pre_push.msg_fix "--root" >&2
+        fi
+        exit 1
+    fi
+fi
+
 # Fichiers modifiés par le push de <sha> : depuis l'état distant connu, ou pour
 # une nouvelle branche depuis le dernier commit déjà présent sur le remote.
 changed_files() {
@@ -177,7 +213,8 @@ fi
 
 skipped tests && { info "Tests désactivés (repowarden.skip)."; exit 0; }
 
-run_tests_for() { test_projects <"$1"; }
+# Succès : une ligne de résumé par projet ; échec : sortie complète
+run_tests_for() { test_projects resume <"$1"; }
 
 TESTED=""
 CHANGED="$(git rev-parse --absolute-git-dir)/repowarden-changed-files"
@@ -196,5 +233,10 @@ while read -r _ local_sha _ remote_sha; do
 done <<<"$REFS"
 
 rm -f "$CHANGED"
-[ -n "$TESTED" ] || info_t hook.pre_push.6
+# Entrée vide : git n'a rien à envoyer (« Everything up-to-date »)
+if [ -z "$REFS" ]; then
+    info_t hook.pre_push.nothing
+elif [ -z "$TESTED" ]; then
+    info_t hook.pre_push.6
+fi
 ok_t hook.pre_push.7

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.10.2",
+  "version": "4.11.0-next.21",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",