repowarden 4.12.1 → 4.13.0-next.18

package/bin/statut

@@ -13,6 +13,8 @@ source "$ROOT/hooks/lib/common.sh"
 source "$ROOT/hooks/lib/secrets.sh"
 # shellcheck source=../hooks/lib/agents.sh
 source "$ROOT/hooks/lib/agents.sh"
+# shellcheck source=../hooks/lib/carte.sh
+source "$ROOT/hooks/lib/carte.sh"
 exec 2>&1 # une seule sortie, dans l'ordre (avertissements compris)
 # shellcheck disable=SC2034 # lu par check_version (common.sh)
 HOOKS_DIR="$ROOT/hooks"
@@ -75,6 +77,21 @@ if [ -n "$GIT_TOPLEVEL" ]; then
         attention_t st.repo_lefthook "$f"
         break
     done
+    # Projet pre-commit : avec les hooks repowarden actifs, « pre-commit install »
+    # refuse ; ses hooks ne tournent que dans .git/hooks ou .repowarden, lancés par repowarden
+    if [ -f "$GIT_TOPLEVEL/.pre-commit-config.yaml" ] &&
+        [ "$(reel "$(git config --get core.hooksPath 2>/dev/null || true)")" = "$ROOT/hooks" ]; then
+        commun="$(cd "$GIT_TOPLEVEL" && reel "$(git rev-parse --git-common-dir)")"
+        lance=""
+        for h in "$commun/hooks/pre-commit" "$GIT_TOPLEVEL/.repowarden/pre-commit"; do
+            [ -x "$h" ] && grep -qsE 'File generated by pre-commit|pre-commit +(run|hook-impl)' "$h" && lance=1
+        done
+        if [ -z "$lance" ]; then
+            marche="GIT_CONFIG_COUNT=1 GIT_CONFIG_KEY_0=core.hooksPath GIT_CONFIG_VALUE_0= pre-commit install"
+            attention_t st.repo_precommit "$marche"
+            suivant="${suivant:-$marche}"
+        fi
+    fi
     # Anciens noms (configuration, workflows de l'ancien dépôt, que GitHub ne
     # redirige plus) : la migration les remplace
     if [ -e "$GIT_TOPLEVEL/.repogarde.conf" ] || [ -d "$GIT_TOPLEVEL/.repogarde" ] ||
@@ -138,6 +155,16 @@ if [ -n "$GIT_TOPLEVEL" ]; then
         sensitive_files_r
         [ -z "$REPLY" ] || sensitive_files_warn "$REPLY"
     fi
+    # Carte du projet (repowarden carte) : facultative ; périmée, elle ne dit
+    # plus ce que fait le code, et les agents la lisent avant de modifier
+    if [ ! -f "$GIT_TOPLEVEL/$CARTE_JSON" ]; then
+        info_t st.carte_absente
+    elif (cd "$GIT_TOPLEVEL" && carte_a_jour); then
+        ok_t st.carte_ok
+    else
+        attention_t st.carte_perimee
+        suivant="${suivant:-repowarden carte}"
+    fi
     info_t st.repo_forge "$FORGE"
     [ "$FORGE" != github ] || dim_t st.repo_rules
 fi
@@ -150,11 +177,15 @@ if agents_sans_garde "$GIT_TOPLEVEL"; then
     attention_t st.agents_sans_garde "$cmd_agents"
     suivant="${suivant:-$cmd_agents}"
 fi
-# Garde-fou posé par une version antérieure de repowarden : init le met à jour
-while read -r portee _agent fichier; do
+# Garde-fou ou skill posés par une version antérieure de repowarden : init le met à jour
+while read -r portee agent fichier; do
     cmd_agents="repowarden agents init"
     [ "$portee" = projet ] || cmd_agents="$cmd_agents --global"
-    attention_t st.agents_stale "$fichier" "$cmd_agents"
+    if [ "$agent" = skill-claude ] || [ "$agent" = skill-opencode ]; then
+        attention_t st.agents_skill_stale "$fichier" "$cmd_agents"
+    else
+        attention_t st.agents_stale "$fichier" "$cmd_agents"
+    fi
     suivant="${suivant:-$cmd_agents}"
 done < <(agents_perimes "$GIT_TOPLEVEL")
 

package/ci/tickets/commun.sh

@@ -113,4 +113,7 @@ notice() { echo "::notice title=repowarden::$*"; }
 
 notice_t() { _tr "$@"; notice "$_T"; }
 
+# Avertissement traduit dans le journal du run : signale sans faire échouer
+avertir_t() { _tr "$@"; echo "::warning title=repowarden::$_T"; }
+
 # Chargé par les tests (source) : fonctions seulement

package/ci/tickets/push.sh

@@ -69,12 +69,13 @@ titre_pr_brouillon_r() {
     suggest_pr_title_r "$branche"
 }
 
-# $1 = corps d'un ticket → REPLY : les puces de ses critères d'acceptation
+# $1 = corps d'un ticket → REPLY : ses sections de critères d'acceptation
 # (« Terminé quand… », « Critères d'acceptation ») en cases à cocher « - [ ] »,
-# le reste inchangé
+# RESTE_TICKET : le reste (constat, proposition), que la PR replie
 criteres_coches_r() {
-    local corps="$1" ligne dedans=0 sortie=""
+    local corps="$1" ligne dedans=0 criteres="" reste=""
     while IFS= read -r ligne; do
+        ligne="${ligne%$'\r'}"
         if [[ "$ligne" =~ ^#{1,6}[[:space:]] ]]; then
             dedans=0
             case "$ligne" in
@@ -85,9 +86,16 @@ criteres_coches_r() {
             ligne="$(printf '%s' "$ligne" |
                 sed -E 's/^([[:space:]]*[-*][[:space:]]+)(\[[xX ]\][[:space:]]+)?/\1[ ] /')"
         fi
-        sortie="$sortie$ligne"$'\n'
+        if [ "$dedans" = 1 ]; then
+            criteres="$criteres$ligne"$'\n'
+        else
+            reste="$reste$ligne"$'\n'
+        fi
     done <<<"$corps"
-    REPLY="${sortie%$'\n'}"
+    while [[ "$reste" == $'\n'* ]]; do reste="${reste#$'\n'}"; done
+    sans_fin_vide_r "$reste"
+    RESTE_TICKET="$REPLY"
+    sans_fin_vide_r "$criteres"
 }
 
 # Fin de chaque commentaire lu d'un bloc (séparateur ASCII) : un texte écrit à
@@ -189,41 +197,102 @@ section_realise_r() {
     sans_fin_vide_r "$section"
 }
 
+# Ligne de pied d'un commit (`repowarden cc --refs`), faite seulement de
+# références : retirée, le pied de la PR porte déjà le ticket
+PIED_COMMIT_RE='^[[:space:]]*(Tickets?|Refs?|Closes|Fixes|Resolves)[[:space:]]*:?[[:space:]]*#[0-9]+([[:space:],]+#[0-9]+)*[[:space:]]*$'
+
+# $1 = commits lus par l'API (« parents sha message », chacun suivi d'une ligne
+# SEP_COMMENTAIRE) → REPLY : pour chaque commit hors fusion, « ### en-tête (sha) »
+# puis son corps, le pourquoi que le relecteur cherche avant le ticket
+ce_que_fait_r() {
+    local ligne debut=1 fusion=0 entete="" bloc="" sortie="" reste
+    while IFS= read -r ligne; do
+        ligne="${ligne%$'\r'}"
+        if [ "$ligne" = "$SEP_COMMENTAIRE" ]; then
+            if [ -n "$entete" ] && [ "$fusion" = 0 ]; then
+                sans_fin_vide_r "$bloc"
+                sortie="$sortie${sortie:+$'\n\n'}$entete${REPLY:+$'\n'}$REPLY"
+            fi
+            debut=1 fusion=0 entete="" bloc=""
+            continue
+        fi
+        if [ "$debut" = 1 ]; then
+            [ -n "$ligne" ] || continue
+            debut=0
+            # plus d'un parent : commit de fusion, sans rien à dire à la revue
+            [ "${ligne%% *}" -le 1 ] 2>/dev/null || fusion=1
+            reste="${ligne#* }"
+            entete="### ${reste#* } (${reste%% *})"
+            continue
+        fi
+        [ -n "$bloc" ] || [ -n "${ligne//[[:space:]]/}" ] || continue
+        [[ ! "$ligne" =~ $PIED_COMMIT_RE ]] || continue
+        ligne_reprise_r "$ligne"
+        bloc="$bloc$REPLY"$'\n'
+    done <<<"$1"$'\n'"$SEP_COMMENTAIRE"
+    REPLY="$sortie"
+}
+
 # REPLY = description de la PR brouillon du ticket $1 (branche $2, PR $3 si
-# elle existe) : le ticket (critères en cases à cocher), ses ajouts en
-# commentaire, le résumé de sa conception, les commits, la section « Réalisé »
-# de l'auteur gardée, puis « Ticket : #N ». Le bot ne régénère que ses sections.
+# elle existe) : ce que fait la PR (corps des commits), les critères du ticket
+# en cases à cocher, ses ajouts en commentaire, le résumé de sa conception, le
+# reste du ticket replié, la section « Réalisé » de l'auteur gardée, puis
+# « Ticket : #N ». Le bot ne régénère que ses sections.
 description_pr_brouillon_r() {
-    local n="$1" branche="$2" pr="${3:-}" corps commits commentaires
+    local n="$1" branche="$2" pr="${3:-}" corps="" reste commentaires
+    ce_que_fait_r "$(gh api "repos/$GH_REPO/compare/$INTEGRATION...$branche" \
+        -q '.commits[] | "\(.parents | length) \(.sha[0:7]) \(.commit.message)\n\u001e"' 2>/dev/null || true)"
+    _tr tk.pr_does
+    [ -z "$REPLY" ] || corps="## $_T"$'\n'"$REPLY"
     criteres_coches_r "$(gh issue view "$n" --json body -q .body)"
-    corps="$REPLY"
+    reste="$RESTE_TICKET"
+    [ -z "$REPLY" ] || corps="$corps${corps:+$'\n\n'}$REPLY"
     commentaires_mainteneur_r "$n"
     commentaires="$REPLY"
     ajouts_ticket_r "$commentaires"
     _tr tk.pr_additions
-    [ -z "$REPLY" ] || corps="$corps"$'\n\n## '"$_T"$'\n'"$REPLY"
+    [ -z "$REPLY" ] || corps="$corps${corps:+$'\n\n'}## $_T"$'\n'"$REPLY"
     resume_conception_r "$commentaires"
     _tr tk.pr_design
-    [ -z "$REPLY" ] || corps="$corps"$'\n\n## '"$_T"$'\n'"$REPLY"
-    commits="$(gh api "repos/$GH_REPO/compare/$INTEGRATION...$branche" \
-        -q '.commits[] | "- \(.sha[0:7]) \(.commit.message | split("\n")[0])"' 2>/dev/null || true)"
-    [ -z "$commits" ] || corps="$corps"$'\n\n## Commits\n'"$commits"
+    [ -z "$REPLY" ] || corps="$corps${corps:+$'\n\n'}## $_T"$'\n'"$REPLY"
+    if [ -n "$reste" ]; then
+        # lignes vides autour du texte : sinon GitHub ne rend pas son Markdown
+        _tr tk.pr_ticket "$n"
+        corps="$corps${corps:+$'\n\n'}<details>"$'\n'"<summary>$_T</summary>"$'\n\n'"$reste"$'\n\n</details>'
+    fi
     if [ -n "$pr" ]; then
         section_realise_r "$(gh pr view "$pr" --json body -q .body 2>/dev/null || true)"
-        [ -z "$REPLY" ] || corps="$corps"$'\n\n'"$REPLY"
+        [ -z "$REPLY" ] || corps="$corps${corps:+$'\n\n'}$REPLY"
     fi
-    REPLY="$corps"$'\n\nTicket : #'"$n"
+    REPLY="$corps${corps:+$'\n\n'}Ticket : #$n"
+}
+
+# Numéro de la PR ouverte depuis la branche $1, vide sinon ; relu juste avant
+# la création pour ne jamais ouvrir deux PR pour une même branche
+pr_ouverte() { gh pr list --state open --head "$1" --json number -q '.[0].number // empty'; }
+
+# REPLY = compte à assigner à la PR brouillon du ticket $1 : l'auteur du push
+# s'il est une personne (GitHub refuse d'assigner un bot avec un jeton d'App),
+# sinon le premier assigné du ticket, sinon vide
+assigne_pr_r() {
+    REPLY=""
+    case "${PUSHER:-}" in
+        "" | *"[bot]") ;;
+        *) REPLY="$PUSHER"; return 0 ;;
+    esac
+    REPLY="$(assignes "$1")"
+    REPLY="${REPLY%%$'\n'*}"
 }
 
 # Premier push sur la branche d'un ticket : PR brouillon vers la branche
 # d'intégration, titrée par le premier commit (repli : le ticket), à la
-# description reprise du ticket, citant le
-# ticket, assignée à l'auteur du push ; ticket en cours. Ouverte par le jeton
-# des Actions, elle ne lance pas la CI : elle tourne au push suivant, ou au
+# description reprise du ticket, citant le ticket, assignée à l'auteur du
+# push (une personne, jamais un bot ; repli : l'assigné du ticket ; un refus
+# n'est qu'un avertissement) ; ticket en cours. Ouverte par le jeton des Actions, elle ne lance pas la CI : elle tourne au push suivant, ou au
 # passage « prête pour revue ». Tant qu'elle est en brouillon, chaque push met
 # à jour son titre et sa description ; une PR prête n'est plus touchée.
 cmd_push() {
-    local n pr titre corps url
+    local n pr titre corps url qui
     : "${PUSH_BRANCH:?}" "${SHA:?}"
     [ "${DELETED:-false}" != true ] || return 0
     branch_ticket_r "$PUSH_BRANCH"
@@ -231,7 +300,7 @@ cmd_push() {
     [ -n "$n" ] || return 0
     # Branche faite hors du ticket (à la main) : inscrite sur le ticket
     inscrire_branche "$n" "$PUSH_BRANCH"
-    pr="$(gh pr list --state open --head "$PUSH_BRANCH" --json number -q '.[0].number // empty')"
+    pr="$(pr_ouverte "$PUSH_BRANCH")"
     # PR existante : rien à faire si elle n'est plus en brouillon
     [ -z "$pr" ] || [ "$(gh pr view "$pr" --json isDraft -q .isDraft)" = true ] || return 0
     [ "$(gh api "repos/$GH_REPO/compare/$INTEGRATION...$PUSH_BRANCH" -q .ahead_by)" != 0 ] || return 0
@@ -244,9 +313,22 @@ cmd_push() {
         notice_t tk.draft_updated "$pr" "$n"
         return 0
     fi
+    # Deux push rapprochés : un autre run a pu ouvrir la PR entre-temps
+    pr="$(pr_ouverte "$PUSH_BRANCH")"
+    if [ -n "$pr" ]; then
+        notice_t tk.draft_exists "$pr" "$n"
+        return 0
+    fi
     url="$(gh pr create --draft --base "$INTEGRATION" --head "$PUSH_BRANCH" --title "$titre" \
-        --body "$corps" ${PUSHER:+--assignee "$PUSHER"})"
-    [ -z "${PUSHER:-}" ] || gh issue edit "$n" --add-assignee "$PUSHER" >/dev/null || true
+        --body "$corps")"
+    # assignation à part : un refus de GitHub ne doit pas faire échouer le suivi
+    assigne_pr_r "$n"
+    qui="$REPLY"
+    if [ -n "$qui" ]; then
+        gh pr edit "${url##*/}" --add-assignee "$qui" >/dev/null 2>&1 ||
+            avertir_t tk.assign_failed "${url##*/}" "$qui"
+        [ "$qui" != "${PUSHER:-}" ] || gh issue edit "$n" --add-assignee "$qui" >/dev/null 2>&1 || true
+    fi
     est_valide "$n" && statut "$n" "$S_ENCOURS"
     notice_t tk.draft_opened "${url##*/}" "$n"
     verifier "${url##*/}" "$SHA" "$n" "$PUSH_BRANCH" || true

package/hooks/agents/repowarden-garde-v2.js

@@ -0,0 +1,32 @@
+// Garde-fou repowarden pour opencode 2.x (écrit par repowarden agents init) :
+// chaque outil est soumis à « repowarden garde » avant de s'exécuter. Refus
+// (code 2) → erreur rendue à l'agent, avec la commande à lancer. repowarden
+// absent ou en panne : rien n'est bloqué. opencode 1.x : repowarden-garde.js,
+// à côté (un module à export par défaut y passerait pour un plugin 2.x).
+// Plugins opencode 2.x : export par défaut { id, setup }, crochet
+// ctx.tool.hook("execute.before") (outils edit, write, shell…). opencode 1.19
+// lit tout export par défaut qui a un id comme un plugin à server() : sans
+// lui, « failed to load plugin » à chaque démarrage ; server() ne rend aucun
+// crochet, le garde-fou 1.x reste celui de repowarden-garde.js
+import { spawnSync } from "node:child_process"
+
+// Soumet l'appel d'outil à repowarden garde ; l'erreur levée par le crochet
+// empêche l'outil de s'exécuter et son message est rendu à l'agent
+function garde(tool, args, cwd) {
+  const r = spawnSync("repowarden", ["garde"], {
+    input: JSON.stringify({ tool, args, cwd }),
+    encoding: "utf8",
+  })
+  if (r.status === 2) throw new Error((r.stderr || "").trim())
+}
+
+export default {
+  id: "repowarden-garde",
+  // Sans ctx.tool.hook (opencode 1.x charge aussi ce fichier) : rien
+  setup: (ctx) => {
+    if (typeof ctx?.tool?.hook !== "function") return
+    const dossier = ctx.location?.directory || process.cwd()
+    return ctx.tool.hook("execute.before", (appel) => garde(appel.tool, appel.input, dossier))
+  },
+  server: async () => ({}),
+}

package/hooks/agents/skill-repowarden.en.md

@@ -0,0 +1,41 @@
+---
+name: repowarden
+description: Repowarden skill for AI agents. Triggers on ticket, commit, branch, push, PR, CI, gh, forbidden action or guard refusal.
+---
+<!-- repowarden:skill installed by repowarden agents init; remove this line to customize it -->
+
+# Repowarden
+
+## Goal
+Follow the repowarden workflow in the repo: no change without a ticket, written design, `repowarden cc`, draft PR opened by the bot, release by the maintainer.
+
+## Workflow
+1. **Ticket before any change** (including GitHub settings). Without a ticket, stop and ask for one: an agent only creates a ticket (`repowarden ticket nouveau "<title>"`) when asked to, and never validates one.
+2. **Design**: write a "Conception retenue" on the ticket (what, files touched, out of scope). Any change of plan must be noted on the ticket before or when it happens.
+3. **Take the ticket**: `repowarden ticket <n>`. Branch `type/<n>-sujet` is created from `develop`.
+4. **Sandbox tests**: use `./.essai/` for disposable repos without a remote. Delete them at the end.
+5. **Code and commit**: `git add <files>` (never `git add .`, `-A` or `--all`). Commit via `repowarden cc -m "<description only>" --type <type> --scope <scope> --body "<why>" --refs "Ticket : #<n>"` (French messages, header ≤ 72 chars, no signature/agent). No `--no-verify`.
+6. **Push**: `git push -u origin HEAD` without force. The bot opens a draft PR to `develop` with `Ticket : #<n>` (never `Closes #<n>`).
+7. **PR**: the maintainer marks it ready and releases; the agent follows `repowarden pr checks <n>` and reports when everything is green. An agent does not merge, does not mark a PR ready, does not close tickets. Only `develop` enters `main`, via the release PR.
+
+## Useful commands
+- `repowarden ticket <n>` / `repowarden ticket comment <n> "<text>"`
+- `repowarden cc --dry-run -m "<description>" --type <type> --scope <scope> --body "<why>" --refs "Ticket : #<n>"`
+- `repowarden pr checks <n>`, `repowarden run rerun <id|--failed|--workflow>`
+- `REPOWARDEN_TICKET=<n> gh …`: GitHub write outside the workflow, tied to ticket <n>
+- `opencode run --auto "<instruction>" < /dev/null`: non-interactive opencode (without `--auto` every permission is denied, without `< /dev/null` it waits silently)
+
+## Guard
+It refuses in particular:
+- direct or forced push to `main`/`develop`;
+- `git commit` outside `repowarden cc`;
+- modifying a file on a protected branch or outside a ticket branch;
+- `gh` write outside the workflow without a ticket;
+- validating a ticket or changing its status.
+
+If `repowarden garde` refuses an action: read the message, run exactly the command indicated, never bypass (`--no-verify`, `--admin`, exception). A quoted string containing a forbidden command must go in a file. If the refusal seems impossible given the ticket design, stop and explain on the ticket instead of guessing.
+
+## Rules
+- French commit messages, no signature or co-author from an agent.
+- Bash 3.2 compatible if touching shell scripts.
+- A bug becomes a ticket; if linked to an open ticket, note it as "Ajout" there.

package/hooks/agents/skill-repowarden.fr.md

@@ -0,0 +1,41 @@
+---
+name: repowarden
+description: Skill repowarden pour agents IA. Déclenche sur ticket, commit, branche, push, PR, CI, gh, action interdite ou refus du garde-fou.
+---
+<!-- repowarden:skill posée par repowarden agents init ; retirer cette ligne pour la personnaliser -->
+
+# Repowarden
+
+## But
+Appliquer le circuit repowarden dans le dépôt : pas de changement sans ticket, conception écrite, `repowarden cc`, PR brouillon par le bot, livraison par le mainteneur.
+
+## Circuit
+1. **Ticket créé avant tout changement** (même pour un réglage GitHub). Sans ticket, s'arrêter et en demander un : un agent ne crée un ticket (`repowarden ticket nouveau "<titre>"`) que si on le lui demande, et n'en valide jamais.
+2. **Conception** : noter la « Conception retenue » sur le ticket (quoi, fichiers touchés, hors périmètre). Tout écart est noté sur le ticket avant ou au moment.
+3. **Prendre le ticket** : `repowarden ticket <n>`. La branche `type/<n>-sujet` est créée depuis `develop`.
+4. **Cadrer les essais** : utiliser `./.essai/` pour des dépôts jetables sans remote. Les supprimer à la fin.
+5. **Coder et commiter** : `git add <fichiers>` (jamais `git add .`, `-A` ou `--all`). Message via `repowarden cc -m "<description seule>" --type <type> --scope <portée> --body "<pourquoi>" --refs "Ticket : #<n>"` (français, en-tête ≤ 72 caractères, sans signature/agent). Sans `--no-verify`.
+6. **Pousser** : `git push -u origin HEAD` sans forcer. Le bot ouvre une PR brouillon vers `develop` avec `Ticket : #<n>` (jamais `Closes #<n>`).
+7. **PR** : le mainteneur la passe en ready et livre ; l'agent suit `repowarden pr checks <n>` et signale quand tout est vert. Un agent ne merge pas, ne passe pas une PR en ready, ne ferme pas de ticket. Seul `develop` entre dans `main`, par la PR de livraison.
+
+## Commandes utiles
+- `repowarden ticket <n>` / `repowarden ticket comment <n> "<texte>"`
+- `repowarden cc --dry-run -m "<description>" --type <type> --scope <portée> --body "<pourquoi>" --refs "Ticket : #<n>"`
+- `repowarden pr checks <n>`, `repowarden run rerun <id|--failed|--workflow>`
+- `REPOWARDEN_TICKET=<n> gh …` : écriture GitHub hors circuit, rattachée au ticket <n>
+- `opencode run --auto "<consigne>" < /dev/null` : opencode non interactif (sans `--auto` chaque permission est refusée, sans `< /dev/null` il attend en silence)
+
+## Garde-fou
+Il refuse notamment :
+- push direct ou forcé sur `main`/`develop` ;
+- `git commit` hors `repowarden cc` ;
+- modifier un fichier sur une branche protégée ou hors branche de ticket ;
+- écriture `gh` hors circuit sans ticket ;
+- valider un ticket ou changer son statut.
+
+Si `repowarden garde` refuse une action : lire le message, appliquer exactement la commande indiquée, ne jamais contourner (`--no-verify`, `--admin`, exception). Un texte entre guillemets citant une commande interdite doit aller dans un fichier. Si le refus semble impossible au regard de la conception du ticket, s'arrêter et l'expliquer sur le ticket, pas d'invention.
+
+## Règles
+- Messages français, sans signature ni co-auteur d'agent.
+- Bash 3.2 compatible si on touche des scripts shell.
+- Un défaut devient un ticket ; s'il est lié à un ticket ouvert, le noter en « Ajout » dessus.

package/hooks/lib/agents.sh

@@ -4,10 +4,22 @@
 
 # Forme actuelle du garde-fou : un garde-fou posé par repowarden qui en diffère
 # date d'une version antérieure et est mis à jour (#470)
-AGENTS_MODELE_OPENCODE="$(cd "$(dirname "${BASH_SOURCE[0]}")/../agents" && pwd -P)/repowarden-garde.js"
+AGENTS_MODELES="$(cd "$(dirname "${BASH_SOURCE[0]}")/../agents" && pwd -P)"
+# Plugins opencode, un par API : 1.x lit l'export nommé, 2.x l'export par
+# défaut, et 1.x ignore l'export nommé d'un module qui a les deux (#469)
+AGENTS_PLUGINS_OPENCODE="repowarden-garde.js repowarden-garde-v2.js"
 AGENTS_COMMANDE_CLAUDE="repowarden garde --format claude"
 AGENTS_MATCHER_CLAUDE="Edit|Write|MultiEdit|NotebookEdit|Bash"
 
+# Modèles de la skill repowarden selon la langue (fr/en)
+agents_modele_skill() {
+    local lang="${REPOWARDEN_LANG:-fr}"
+    case "$lang" in
+        en) echo "$(cd "$(dirname "${BASH_SOURCE[0]}")/../agents" && pwd -P)/skill-repowarden.en.md" ;;
+        *)  echo "$(cd "$(dirname "${BASH_SOURCE[0]}")/../agents" && pwd -P)/skill-repowarden.fr.md" ;;
+    esac
+}
+
 # Dossiers de configuration de l'utilisateur, là où chaque outil les lit
 # (CLAUDE_CONFIG_DIR ; OPENCODE_CONFIG_DIR, sinon XDG_CONFIG_HOME)
 agents_dossiers_globaux() {
@@ -25,10 +37,10 @@ agents_plugin_repowarden() {
     return 1
 }
 
-# Vrai si le plugin $1 vient de repowarden mais diffère du modèle actuel :
-# posé par une version antérieure, il n'a pas suivi les mises à jour
+# Vrai si le plugin $1 vient de repowarden mais diffère du modèle actuel (même
+# nom) : posé par une version antérieure, il n'a pas suivi les mises à jour
 agents_plugin_perime() {
-    agents_plugin_repowarden "$1" && ! cmp -s "$1" "$AGENTS_MODELE_OPENCODE"
+    agents_plugin_repowarden "$1" && ! cmp -s "$1" "$AGENTS_MODELES/$(basename "$1")"
 }
 
 # Vrai si le settings.json $1 a un hook « repowarden garde… » d'une autre forme
@@ -44,18 +56,42 @@ agents_claude_perime() {
 # Garde-fous périmés du dépôt $1 (vide hors dépôt) puis de l'utilisateur, une
 # ligne « portée agent fichier » chacun : statut les signale, install les met à jour
 agents_perimes() {
+    local modele
+    modele="$(agents_modele_skill)"
     agents_dossiers_globaux
     if [ -n "${1:-}" ]; then
         ! agents_claude_perime "$1/.claude/settings.json" || echo "projet claude $1/.claude/settings.json"
-        ! agents_plugin_perime "$1/.opencode/plugins/repowarden-garde.js" ||
-            echo "projet opencode $1/.opencode/plugins/repowarden-garde.js"
+        agents_opencode_perimes projet "$1/.opencode/plugins"
+        if agents_skill_perime "$1/.claude/skills/repowarden/SKILL.md" "$modele"; then
+            echo "projet skill-claude $1/.claude/skills/repowarden/SKILL.md"
+        fi
+        if agents_skill_perime "$1/.opencode/skills/repowarden/SKILL.md" "$modele"; then
+            echo "projet skill-opencode $1/.opencode/skills/repowarden/SKILL.md"
+        fi
     fi
     ! agents_claude_perime "$AGENTS_CLAUDE_DIR/settings.json" || echo "global claude $AGENTS_CLAUDE_DIR/settings.json"
-    ! agents_plugin_perime "$AGENTS_OPENCODE_DIR/plugins/repowarden-garde.js" ||
-        echo "global opencode $AGENTS_OPENCODE_DIR/plugins/repowarden-garde.js"
+    agents_opencode_perimes global "$AGENTS_OPENCODE_DIR/plugins"
+    if agents_skill_perime "$AGENTS_CLAUDE_DIR/skills/repowarden/SKILL.md" "$modele"; then
+        echo "global skill-claude $AGENTS_CLAUDE_DIR/skills/repowarden/SKILL.md"
+    fi
+    if agents_skill_perime "$AGENTS_OPENCODE_DIR/skills/repowarden/SKILL.md" "$modele"; then
+        echo "global skill-opencode $AGENTS_OPENCODE_DIR/skills/repowarden/SKILL.md"
+    fi
     return 0
 }
 
+# Plugins opencode périmés du dossier $2 (portée $1) : différents du modèle, ou
+# absents à côté d'un plugin repowarden (posé avant le plugin 2.x, #469)
+agents_opencode_perimes() {
+    local p
+    for p in $AGENTS_PLUGINS_OPENCODE; do
+        if agents_plugin_perime "$2/$p" ||
+            { [ ! -e "$2/$p" ] && agents_plugin_repowarden "$2/repowarden-garde.js"; }; then
+            echo "$1 opencode $2/$p"
+        fi
+    done
+}
+
 # Vrai si Claude Code ou opencode est sur ce poste (commande, ou dossier de
 # configuration) sans garde-fou branché, ni dans le dépôt $1 (racine, vide hors
 # dépôt) ni pour l'utilisateur : ses actions ne seraient vues qu'au commit
@@ -64,8 +100,8 @@ agents_sans_garde() {
     agents_dossiers_globaux
     command -v claude >/dev/null 2>&1 || command -v opencode >/dev/null 2>&1 ||
         [ -d "$AGENTS_CLAUDE_DIR" ] || [ -d "$AGENTS_OPENCODE_DIR" ] || return 1
-    [ -z "${1:-}" ] || fichiers=("$1/.claude/settings.json" "$1/.opencode/plugins/repowarden-garde.js")
-    fichiers+=("$AGENTS_CLAUDE_DIR/settings.json" "$AGENTS_OPENCODE_DIR/plugins/repowarden-garde.js")
+    [ -z "${1:-}" ] || fichiers=("$1/.claude/settings.json" "$1/.opencode/plugins/repowarden-garde.js" "$1/.opencode/plugins/repowarden-garde-v2.js")
+    fichiers+=("$AGENTS_CLAUDE_DIR/settings.json" "$AGENTS_OPENCODE_DIR/plugins/repowarden-garde.js" "$AGENTS_OPENCODE_DIR/plugins/repowarden-garde-v2.js")
     # Plugin repowarden d'une version antérieure : branché (périmé, pas absent)
     for f in "${fichiers[@]}"; do
         ! grep -qs "repowarden garde" "$f" || return 1
@@ -73,3 +109,16 @@ agents_sans_garde() {
     done
     return 0
 }
+
+# Vrai si le fichier skill $1 a été posé par repowarden (repère)
+agents_skill_repowarden() {
+    grep -q '<!-- repowarden:skill' "$1" 2>/dev/null
+}
+
+# Vrai si la skill $1 vient de repowarden mais diffère du modèle de la langue
+agents_skill_perime() {
+    local modele="$2"
+    [ -f "$1" ] || return 1
+    agents_skill_repowarden "$1" || return 1
+    ! cmp -s "$1" "$modele"
+}