repowarden 4.4.0 → 4.7.0

package/README.md

@@ -1,18 +1,18 @@
 # repowarden
 
-[![CI](https://github.com/SimBienvenueHoulBoumi/repowarden/actions/workflows/ci.yml/badge.svg)](https://github.com/SimBienvenueHoulBoumi/repowarden/actions/workflows/ci.yml)
-[![e2e](https://github.com/SimBienvenueHoulBoumi/repowarden/actions/workflows/e2e.yml/badge.svg)](https://github.com/SimBienvenueHoulBoumi/repowarden/actions/workflows/e2e.yml)
-[![Release](https://img.shields.io/github/v/release/SimBienvenueHoulBoumi/repowarden)](https://github.com/SimBienvenueHoulBoumi/repowarden/releases)
+[![CI](https://github.com/simdevWarden/repowarden/actions/workflows/ci.yml/badge.svg)](https://github.com/simdevWarden/repowarden/actions/workflows/ci.yml)
+[![e2e](https://github.com/simdevWarden/repowarden/actions/workflows/e2e.yml/badge.svg)](https://github.com/simdevWarden/repowarden/actions/workflows/e2e.yml)
+[![Release](https://img.shields.io/github/v/release/simdevWarden/repowarden)](https://github.com/simdevWarden/repowarden/releases)
 [![npm](https://img.shields.io/npm/v/repowarden)](https://www.npmjs.com/package/repowarden)
-[![Documentation](https://img.shields.io/badge/docs-site-indigo)](https://simbienvenuehoulboumi.github.io/repowarden/)
-[![OpenSSF Scorecard](https://api.scorecard.dev/projects/github.com/SimBienvenueHoulBoumi/repowarden/badge)](https://scorecard.dev/viewer/?uri=github.com/SimBienvenueHoulBoumi/repowarden)
+[![Documentation](https://img.shields.io/badge/docs-site-indigo)](https://simdevwarden.github.io/repowarden/)
+[![OpenSSF Scorecard](https://api.scorecard.dev/projects/github.com/simdevWarden/repowarden/badge)](https://scorecard.dev/viewer/?uri=github.com/simdevWarden/repowarden)
 [![Licence MIT](https://img.shields.io/badge/licence-MIT-blue)](LICENSE)
 
 **repowarden** garde l'entrée de vos dépôts Git : messages de commit, nommage des branches, secrets, formatage et tests, **quel que soit le langage** — sur les postes (hooks), en CI (GitHub, GitLab) et côté serveur.
 
-📖 **Documentation : https://simbienvenuehoulboumi.github.io/repowarden/** · 🇬🇧 **English: https://simbienvenuehoulboumi.github.io/repowarden/en/**
+📖 **Documentation : https://simdevwarden.github.io/repowarden/** · 🇬🇧 **English: https://simdevwarden.github.io/repowarden/en/**
 
-> **v4 : repogarde devient repowarden** (paquet npm `repowarden`) et lefthook n'est plus pris en charge. Les anciens noms restent lus en v4. Marche à suivre : [Passer à la v4](https://simbienvenuehoulboumi.github.io/repowarden/migration-v4/).
+> **v4 : repogarde devient repowarden** (paquet npm `repowarden`) et lefthook n'est plus pris en charge. Les anciens noms restent lus en v4. Marche à suivre : [Passer à la v4](https://simdevwarden.github.io/repowarden/migration-v4/).
 
 ## Ce qu'il fait
 
@@ -23,9 +23,24 @@
 - **Tests** : au push et en CI, seulement les projets touchés, sur le commit poussé.
 - **Code mort** : seul le nouveau code mort est signalé, prouvé (bloquant) ou candidat (à vérifier) ; `repowarden code-mort` en local.
 - **Tickets** : chaque PR est reliée à un ticket validé (créé automatiquement s'il manque), suivi de « à valider » à « done » à la release ; `repowarden tickets init`.
-- **Versions et releases** : les commits étant conventionnels, la version suivante (semver) et le changelog se déduisent de l'historique ; un workflow réutilisable en fait des releases automatiques (PR de release validée par la CI puis mergée, tag, release), sans jeton ni intervention.
+- **Versions et releases** : les commits étant conventionnels, la version suivante (semver) et le changelog se déduisent de l'historique ; un workflow réutilisable en fait des releases automatiques (PR de release validée par la CI puis mergée, tag, release), sans jeton ; dans le flux `develop` → `main`, un clic d'approbation par livraison.
 
-**Plus de 25 technologies** : Java (Maven, Gradle), JavaScript / TypeScript, Python, Go, Rust, PHP, Ruby, .NET, Dart / Flutter, Swift, Elixir, C / C++, Shell, Terraform, Packer, Ansible, Helm, Kubernetes, Docker, GitHub Actions — [détail](https://simbienvenuehoulboumi.github.io/repowarden/technologies/). Linux, macOS, Windows.
+**Plus de 25 technologies** : Java (Maven, Gradle), JavaScript / TypeScript, Python, Go, Rust, PHP, Ruby, .NET, Dart / Flutter, Swift, Elixir, C / C++, Shell, Terraform, Packer, Ansible, Helm, Kubernetes, Docker, GitHub Actions — [détail](https://simdevwarden.github.io/repowarden/technologies/). Linux, macOS, Windows.
+
+## Ce que tu fais à la main
+
+Le reste est automatique. Pas à pas et pièges : [où cliquer](https://simdevwarden.github.io/repowarden/validation/#ou-cliquer).
+
+| Geste | Où |
+|---|---|
+| Valider un ticket | étiquette `validé` (d'office si un mainteneur l'ouvre) |
+| Écrire la conception, avant le code | commentaire contenant « Conception retenue » sur le ticket |
+| Terminer une PR | **Ready for review** : elle se merge seule quand la CI est verte |
+| Livrer en production (flux `develop`) | *Actions → release → Run workflow* (ou la demande du vendredi), puis **Review deployments → Approve and deploy** sur le run |
+| Livrer un correctif urgent | étiquette `urgent` (à créer si absente) sur la PR `fix/…` |
+| Relire une PR, si exigé | *Files changed → Review changes → Approve* |
+
+Une PR `develop` → `main` ouverte à la main ne reçoit jamais d'approbation : lancer le workflow `release`, qui ouvre la sienne.
 
 ## Démarrage
 
@@ -54,9 +69,23 @@ repowarden code-mort                  # nouveau code mort de ta branche
 | Mettre à jour | `npm update -g repowarden` (les hooks suivent) |
 | Désinstaller | `repowarden uninstall --global`, **puis** `npm uninstall -g repowarden` (dans cet ordre : npm n'exécute rien à la désinstallation, les hooks resteraient branchés sur un dossier supprimé) |
 
-Sans Node : `git clone https://github.com/SimBienvenueHoulBoumi/repowarden.git ~/repowarden && ~/repowarden/install.sh --global` (mise à jour : `git -C ~/repowarden pull`).
+Sans Node : `git clone https://github.com/simdevWarden/repowarden.git ~/repowarden && ~/repowarden/install.sh --global` (mise à jour : `git -C ~/repowarden pull`).
+
+### 4. GitHub App pour l'automatisation (merge auto, tickets, releases)
+
+Pour que les workflows déclenchent les autres workflows (merge auto, tickets, releases), il faut une GitHub App au lieu du `GITHUB_TOKEN` :
+
+```bash
+repowarden app init
+```
+
+1. Ouvre la page locale → clique "Create GitHub App" sur GitHub
+2. Clique "Install" sur ton repo/org
+3. Les secrets `REPOWARDEN_APP_CLIENT_ID` / `REPOWARDEN_APP_KEY` sont configurés automatiquement
+
+Sans cette étape, le `GITHUB_TOKEN` des Actions est utilisé : **ce qu'il fait ne déclenche pas les autres workflows** (merge auto, tickets, préversions).
 
-**Tester la prochaine version** (avant sa sortie en production) : `npm install -g repowarden@next`, ou `uses: SimBienvenueHoulBoumi/repowarden@develop` en CI. Retour à la version stable : `npm install -g repowarden@latest`. Les problèmes se signalent en [issue](https://github.com/SimBienvenueHoulBoumi/repowarden/issues).
+**Tester la prochaine version** (avant sa sortie en production) : `npm install -g repowarden@next`, ou `uses: simdevWarden/repowarden@develop` en CI. Retour à la version stable : `npm install -g repowarden@latest`. Les problèmes se signalent en [issue](https://github.com/simdevWarden/repowarden/issues).
 
 ### 2. Dans un projet d'équipe : les mêmes règles pour tous
 
@@ -71,7 +100,7 @@ L'essentiel des deux fichiers :
 
 ```yaml
 # .github/workflows/repowarden.yml : vérifications de la PR (dernière version 4.x)
-- uses: SimBienvenueHoulBoumi/repowarden@v4
+- uses: simdevWarden/repowarden@v4
   with: { strict: true }      # un outil manquant fait échouer la CI
 ```
 
@@ -83,22 +112,22 @@ L'essentiel des deux fichiers :
 
 Puis rendre la CI obligatoire pour merger : `repowarden proteger` (protection de `main`, check `repowarden` exigé).
 
-Exemple complet : [repowarden-demo](https://github.com/SimBienvenueHoulBoumi/repowarden-demo) · Releases automatiques : [documentation](https://simbienvenuehoulboumi.github.io/repowarden/releases/).
+Exemple complet : [repowarden-demo](https://github.com/simdevWarden/repowarden-demo) · Releases automatiques : [documentation](https://simdevwarden.github.io/repowarden/releases/).
 
 ### 3. Contribuer à repowarden
 
 ```bash
-git clone https://github.com/SimBienvenueHoulBoumi/repowarden.git && cd repowarden
+git clone https://github.com/simdevWarden/repowarden.git && cd repowarden
 ./install.sh                         # repowarden se vérifie lui-même (hooks de ce dépôt)
 bats test/                           # tests (bats-core), aussi lancés au push
 ```
 
 Les PR visent `develop` ; `main` ne reçoit que les livraisons, qui déclenchent les releases. Voir [CONTRIBUTING.md](CONTRIBUTING.md).
 
-**Dans VS Code** : l'extension [repowarden-vscode](https://github.com/SimBienvenueHoulBoumi/repowarden-vscode) guide la rédaction des commits, signale une branche mal nommée et des hooks inactifs. En attendant sa publication sur le Marketplace : `.vsix` dans ses [releases](https://github.com/SimBienvenueHoulBoumi/repowarden-vscode/releases), puis `code --install-extension repowarden-X.Y.Z.vsix`.
+**Dans VS Code** : l'extension [repowarden-vscode](https://github.com/simdevWarden/repowarden-vscode) guide la rédaction des commits, signale une branche mal nommée et des hooks inactifs. En attendant sa publication sur le Marketplace : `.vsix` dans ses [releases](https://github.com/simdevWarden/repowarden-vscode/releases), puis `code --install-extension repowarden-X.Y.Z.vsix`.
 
 ## Liens
 
-[Démarrage rapide](https://simbienvenuehoulboumi.github.io/repowarden/demarrage/) · [Hooks et règles](https://simbienvenuehoulboumi.github.io/repowarden/hooks/) · [Technologies](https://simbienvenuehoulboumi.github.io/repowarden/technologies/) · [Configuration](https://simbienvenuehoulboumi.github.io/repowarden/configuration/) · [CI](https://simbienvenuehoulboumi.github.io/repowarden/ci/) · [Versions et releases](https://simbienvenuehoulboumi.github.io/repowarden/releases/) · [Validation humaine](https://simbienvenuehoulboumi.github.io/repowarden/validation/) · [Code mort](https://simbienvenuehoulboumi.github.io/repowarden/code-mort/) · [En organisation](https://simbienvenuehoulboumi.github.io/repowarden/industrialisation/) · [Sources internes (Nexus, Artifactory)](https://simbienvenuehoulboumi.github.io/repowarden/industrialisation/#8-sources-internes-reseau-ferme-nexus-artifactory) · [Désinstallation](https://simbienvenuehoulboumi.github.io/repowarden/desinstallation/) · [Sécurité](SECURITY.md) · [Contribuer](CONTRIBUTING.md) · [Changelog](CHANGELOG.md)
+[Démarrage rapide](https://simdevwarden.github.io/repowarden/demarrage/) · [Hooks et règles](https://simdevwarden.github.io/repowarden/hooks/) · [Technologies](https://simdevwarden.github.io/repowarden/technologies/) · [Configuration](https://simdevwarden.github.io/repowarden/configuration/) · [CI](https://simdevwarden.github.io/repowarden/ci/) · [Versions et releases](https://simdevwarden.github.io/repowarden/releases/) · [Validation humaine](https://simdevwarden.github.io/repowarden/validation/) · [Code mort](https://simdevwarden.github.io/repowarden/code-mort/) · [En organisation](https://simdevwarden.github.io/repowarden/industrialisation/) · [Sources internes (Nexus, Artifactory)](https://simdevwarden.github.io/repowarden/industrialisation/#8-sources-internes-reseau-ferme-nexus-artifactory) · [Désinstallation](https://simdevwarden.github.io/repowarden/desinstallation/) · [Sécurité](SECURITY.md) · [Contribuer](CONTRIBUTING.md) · [Changelog](CHANGELOG.md)
 
 Licence [MIT](LICENSE).

package/bin/commit

@@ -335,9 +335,9 @@ ticket=""
 branch_ticket_r "$branch"
 [ -z "$REPLY" ] || ticket="Ticket : #$REPLY"
 # Branche de travail sans ticket : prévenu, jamais bloqué. Création proposée
-# seulement si repowarden gère la vie des tickets du projet (et sans -m)
+# seulement si repowarden gère la vie des tickets du projet ET ticketAutoCreate (et sans -m)
 if [ -z "$ticket" ] && [ -z "$DRY_RUN" ] && ! skipped tickets && work_branch "$branch"; then
-    if [ -z "$BATCH" ] && tickets_managed && has gh; then
+    if [ -z "$BATCH" ] && tickets_managed && ticket_auto_create && has gh; then
         t cc.ticket_offer
         ask_yn "$REPLY" n
         if [ -n "$YN" ] && n="$(bash "$ROOT/bin/ticket" nouveau "$description" --type "$type" --porcelain)" && [ -n "$n" ]; then

package/bin/pr-checks

@@ -0,0 +1,35 @@
+#!/usr/bin/env bash
+# Vérifier les checks d'une PR
+#   repowarden pr checks <n>
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
+# shellcheck source=../hooks/lib/common.sh
+source "$ROOT/hooks/lib/common.sh"
+# shellcheck source=../hooks/lib/i18n.sh
+source "$ROOT/hooks/lib/i18n.sh"
+
+aide() {
+    cat <<EOF
+Usage: repowarden pr checks <n>
+
+Affiche l'état des checks de la PR #<n>.
+
+Exemple:
+  repowarden pr checks 123
+EOF
+}
+
+[ $# -eq 1 ] || { aide >&2; exit 1; }
+if [[ "$1" == "--help" || "$1" == "-h" ]]; then
+    aide
+    exit 0
+fi
+command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
+
+n="${1}"
+
+step_t pr.checks.checking "$n"
+gh api "repos/{{owner}}/{{repo}}/pulls/$n/check-runs" --jq '.check_runs[] | {name: .name, conclusion: .conclusion, status: .status, url: .html_url}' 2>/dev/null | while IFS= read -r line; do
+    echo "$line"
+done

package/bin/pr-label

@@ -0,0 +1,51 @@
+#!/usr/bin/env bash
+# Gérer les labels d'une PR GitHub
+#   repowarden pr label <n> <label> [--remove]
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
+# shellcheck source=../hooks/lib/common.sh
+source "$ROOT/hooks/lib/common.sh"
+# shellcheck source=../hooks/lib/i18n.sh
+source "$ROOT/hooks/lib/i18n.sh"
+
+aide() {
+    cat <<EOF
+Usage: repowarden pr label <n> <label> [--remove]
+
+Ajoute ou retire un label sur la PR #<n>.
+
+Options:
+  --remove    Retire le label au lieu de l'ajouter
+
+Exemples:
+  repowarden pr label 123 "ready-for-review"
+  repowarden pr label 123 "needs-changes" --remove
+EOF
+}
+
+[ $# -ge 2 ] || { aide >&2; exit 1; }
+command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
+
+n="${1}"
+label="${2}"
+remove=false
+
+shift 2
+while [ $# -gt 0 ]; do
+    case "$1" in
+        --remove) remove=true ;;
+        *) err_t install.unknown_arg "$1"; exit 1 ;;
+    esac
+    shift
+done
+
+if [ "$remove" = true ]; then
+    step_t pr.label.removing "$label" "$n"
+    gh pr edit "$n" --remove-label "$label"
+    ok_t pr.label.removed "$label" "$n"
+else
+    step_t pr.label.adding "$label" "$n"
+    gh pr edit "$n" --add-label "$label"
+    ok_t pr.label.added "$label" "$n"
+fi

package/bin/proteger

@@ -11,8 +11,10 @@
 #
 #   bin/proteger [--repo propriétaire/nom] [--checks "repowarden,tests (ubuntu-latest)"] [--relecteurs N]
 #                [--codeowners] [--environnement NOM] [--approbateurs "login …"]
-#                [--sans-tags] [--dry-run]
+#                [--sans-tags] [--dry-run] [--verifier]
 # --sans-tags : dépôt qui déplace lui-même un tag (tag majeur flottant v2…).
+# --verifier : compare les règles en ligne à celles attendues, sans rien modifier
+# (après une mise à jour de repowarden ou de .repowarden.conf).
 # Réglages équivalents dans .repowarden.conf (requiredReviews, codeOwnerReview,
 # unattributedApproval, deliveryApproval, environment, environmentReviewers). Demande un gh connecté, admin du dépôt.
 set -euo pipefail
@@ -38,17 +40,20 @@ APPROVERS="$REPLY"
 REPO=""
 CHECKS="repowarden"
 DRY_RUN=""
+VERIFY=""
+CHECKS_SET=""
 NO_TAGS=""
 while [ $# -gt 0 ]; do
     case "$1" in
         --repo) shift; REPO="${1:?--repo attend propriétaire/nom}" ;;
-        --checks) shift; CHECKS="${1:?--checks attend une liste}" ;;
+        --checks) shift; CHECKS="${1:?--checks attend une liste}"; CHECKS_SET=1 ;;
         --relecteurs) shift; REVIEWS="${1:?--relecteurs attend un nombre}" ;;
         --codeowners) CODEOWNERS=true ;;
         --environnement) shift; ENVIRONMENT="${1:?--environnement attend un nom}" ;;
         --approbateurs) shift; APPROVERS="${1:?--approbateurs attend des logins}" ;;
         --sans-tags) NO_TAGS=1 ;;
         --dry-run) DRY_RUN=1 ;;
+        --verifier) VERIFY=1 ;;
         -h | --help) sed -n '2,18p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
         *) err_t install.unknown_arg "$1"; exit 1 ;;
     esac
@@ -58,9 +63,14 @@ done
 [[ "$REVIEWS" =~ ^[0-9]$ ]] || { err_t ci.proteger.reviews_invalid; exit 1; }
 [[ "$CODEOWNERS" =~ ^(true|false)$ ]] || { err_t ci.proteger.codeowners_invalid; exit 1; }
 [[ "$UNATTRIBUTED" =~ ^(true|false)$ ]] || { err_t ci.proteger.unattributed_invalid; exit 1; }
+# Dev solo (une seule personne avec l'écriture) : aucune règle n'exige une
+# autre personne, qui n'existe pas. Nombre inconnu (appel en échec) : pas solo.
+solo=false
+[ "$(gh api "repos/$REPO/collaborators?per_page=100" \
+    --jq '[.[] | select(.permissions.push)] | length' 2>/dev/null)" = 1 ] && solo=true
 # Avec relecture : le dernier à pousser ne peut pas approuver son propre push
 last_push=false
-[ "$REVIEWS" = 0 ] || last_push=true
+[ "$REVIEWS" = 0 ] || [ "$solo" = true ] || last_push=true
 
 cfg_r protectedBranches "main master"
 protected="$REPLY"
@@ -161,8 +171,10 @@ if [ -n "$integration" ]; then
     # Livraison vers main = passage à une nouvelle version : approbation
     # humaine obligatoire (la PR de livraison est ouverte par le workflow,
     # le mainteneur peut donc l'approuver), sans exiger un autre approbateur
-    # que l'auteur du dernier push sauf si des relectures sont configurées
+    # que l'auteur du dernier push sauf si des relectures sont configurées.
+    # Dev solo : pas de minimum (l'auteur de la PR ne peut pas l'approuver)
     livraison=$((REVIEWS > 0 ? REVIEWS : 1))
+    [ "$solo" = false ] || livraison="$REVIEWS"
     # deliveryApproval = deployment (défaut) : la validation humaine est
     # l'approbation de l'environnement de livraison (« Approve and deploy »),
     # exigée par une règle de main (déploiement réussi) ; la revue de PR n'est
@@ -182,12 +194,12 @@ if [ -n "$integration" ]; then
     # release). Une livraison n'apporte que develop, vérifiée par la CI ; le
     # retour reste fait quand main a un contenu propre (correctif direct).
     [ -z "$others" ] || rulesets+=("$(branch_ruleset repowarden "$others" '"merge"' false "$livraison" "$last_push" "$deploiement")")
-    # Branche d'intégration : PR à jour non exigée. Le retour de main (après
-    # une release) serait sinon presque toujours en retard, et « mettre à jour »
-    # fusionnerait develop dans main en contournant la livraison ; la CI
-    # vérifie de toute façon chaque push sur develop.
+    # Branche d'intégration : squash seul (un commit par PR de travail, titre =
+    # message : les commits intermédiaires n'entrent jamais) ; plus de retour
+    # main → develop à merger, seuls develop et ses instantanés livraison/*
+    # entrant dans main. PR à jour non exigée : la CI vérifie chaque push.
     [[ " $existing " != *" $integration "* ]] ||
-        rulesets+=("$(branch_ruleset "repowarden ($integration)" "$integration" '"squash", "merge"' false)")
+        rulesets+=("$(branch_ruleset "repowarden ($integration)" "$integration" '"squash"' false)")
     merge_commit=true
     # Nettoyage par le workflow nettoyage-branches (garde une branche encore
     # source d'une autre PR ouverte)
@@ -202,6 +214,19 @@ if [ -n "$integration" ]; then
     if ! grep -qs "nettoyage-branches.yml" "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; then
         attention_t ci.proteger.no_cleanup
     fi
+    # Règle de déploiement sans workflow qui crée ce déploiement : main
+    # bloquée pour toujours (la livraison n'aurait jamais d'approbation)
+    if [ "$DELIVERY" = deployment ] &&
+        ! grep -qs "delivery-environment:" "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; then
+        attention_t ci.proteger.no_delivery_env "$ENVIRONMENT"
+    fi
+    # Demande de livraison (manuelle, planifiée) qui ne remplace pas celle en
+    # attente : une demande oubliée bloquerait en silence les suivantes
+    for wf in "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; do
+        grep -qs "release-auto.yml" "$wf" && grep -qsE "workflow_dispatch|schedule:" "$wf" &&
+            grep -qs "cancel-in-progress: false" "$wf" &&
+            attention_t ci.proteger.stale_concurrency "${wf#"$GIT_TOPLEVEL"/}"
+    done
     t ci.proteger.methods_flow "$integration"
     methods="$REPLY"
 else
@@ -238,6 +263,7 @@ fi
 echo_t ci.proteger.5 "$tags_msg"
 [ -z "$integration" ] || echo_t ci.proteger.6 "$integration"
 echo_t ci.proteger.7 "$REVIEWS" "$CODEOWNERS" "$UNATTRIBUTED"
+[ "$solo" = false ] || echo_t ci.proteger.solo
 if [ "$REVIEWS" != 0 ] || [ "$CODEOWNERS" = true ]; then
     echo_t ci.proteger.8
 fi
@@ -271,6 +297,56 @@ if [ -n "$ENVIRONMENT" ]; then
   \"deployment_branch_policy\": {\"protected_branches\": false, \"custom_branch_policies\": true}}"
     echo_t ci.proteger.9 "$ENVIRONMENT" "$APPROVERS"
 fi
+# Signature des champs posés par ce script : attendue (JSON produit ci-dessus)
+# et en ligne (gh --jq), comparables sans jq ni python
+sig_attendue() {
+    local r="$1" deps checks
+    deps="$(sed -n 's/.*"required_deployment_environments": \[\(.*\)\].*/\1/p' <<<"$r" | tr -d '" ')"
+    checks="$(grep -o '"context": "[^"]*"' <<<"$r" | sed 's/"context": "\(.*\)"/\1/' | LC_ALL=C sort | paste -sd, -)"
+    printf 'approbations=%s dernier_push=%s codeowners=%s deploiement=%s verifications=%s' \
+        "$(sed -n 's/.*"required_approving_review_count": \([0-9]*\).*/\1/p' <<<"$r")" \
+        "$(sed -n 's/.*"require_last_push_approval": \([a-z]*\).*/\1/p' <<<"$r")" \
+        "$(sed -n 's/.*"require_code_owner_review": \([a-z]*\).*/\1/p' <<<"$r")" "$deps" "$checks"
+}
+# shellcheck disable=SC2016 # expression jq (gh --jq), pas du shell
+SIG_EN_LIGNE='(.rules | map(select(.type == "pull_request"))[0].parameters) as $p
+    | "approbations=\($p.required_approving_review_count) dernier_push=\($p.require_last_push_approval) codeowners=\($p.require_code_owner_review) deploiement=\([.rules[] | select(.type == "required_deployments") | .parameters.required_deployment_environments[]] | join(",")) verifications=\([.rules[] | select(.type == "required_status_checks") | .parameters.required_status_checks[].context] | sort | join(","))"'
+
+if [ -n "$VERIFY" ]; then
+    ecarts=0
+    for ruleset in "${rulesets[@]}"; do
+        grep -q '"target": "branch"' <<<"$ruleset" || continue
+        name="$(sed -n 's/^  "name": "\(.*\)",$/\1/p' <<<"$ruleset")"
+        attendu="$(sig_attendue "$ruleset")"
+        id="$(gh api "repos/$REPO/rulesets" --jq ".[] | select(.name == \"$name\") | .id")"
+        en_ligne=""
+        [ -z "$id" ] || en_ligne="$(gh api "repos/$REPO/rulesets/$id" --jq "$SIG_EN_LIGNE")"
+        # Vérifications exigées : comparées seulement si --checks est donné (la
+        # liste n'est pas dans .repowarden.conf ; sinon faux écart)
+        if [ -z "$CHECKS_SET" ]; then
+            attendu="${attendu% verifications=*}"
+            en_ligne="${en_ligne% verifications=*}"
+        fi
+        if [ -z "$en_ligne" ]; then
+            err_t ci.proteger.verify_missing "$name"
+            ecarts=$((ecarts + 1))
+        elif [ "$en_ligne" != "$attendu" ]; then
+            err_t ci.proteger.verify_diff "$name" "$en_ligne" "$attendu"
+            ecarts=$((ecarts + 1))
+        fi
+    done
+    [ "$ecarts" = 0 ] || { err_t ci.proteger.verify_fix; exit 1; }
+    ok_t ci.proteger.verify_ok
+    exit 0
+fi
+
+# Étiquette « urgent » (flux develop) : son merge lance la demande de livraison
+urgent=""
+if [ -n "$integration" ] && ! gh api "repos/$REPO/labels/urgent" --silent 2>/dev/null; then
+    urgent=1
+    info_t ci.proteger.urgent
+fi
+
 if [ -n "$DRY_RUN" ]; then
     printf '%s\n' "${rulesets[@]}"
     [ -z "$env_json" ] || printf '%s\n' "$env_json"
@@ -311,4 +387,6 @@ if [ -n "$env_json" ]; then
     done
     ok_t ci.proteger.12 "$ENVIRONMENT"
 fi
+[ -z "$urgent" ] || gh label create urgent -R "$REPO" --color B60205 \
+    --description "Livraison immédiate après merge" >/dev/null
 ok_t ci.proteger.13

package/bin/repowarden

@@ -8,6 +8,12 @@
 #   repowarden code-mort                           nouveau code mort de la branche
 #   repowarden ticket <n>                         branche du ticket (créée, liée, si besoin)
 #   repowarden ticket nouveau "<titre>"           nouveau ticket
+#   repowarden ticket comment <n> "<texte>"       commentaire sur un ticket
+#   repowarden ticket label <n> <label> [--remove]  gère les labels d'un ticket
+#   repowarden pr label <n> <label> [--remove]     gère les labels d'une PR
+#   repowarden pr checks <n>                      vérifie les checks d'une PR
+#   repowarden run rerun <id|--failed|--workflow> relance un workflow
+#   repowarden run list [--workflow <nom>]        liste les runs récents
 #   repowarden tickets init                        suivi des tickets (GitHub)
 #   repowarden proteger [options]                  protection des branches (GitHub)
 #   repowarden npm-publication                     publication npm automatique
@@ -29,7 +35,7 @@ source "$ROOT/hooks/lib/ui.sh"
 # shellcheck source=../hooks/lib/i18n.sh
 source "$ROOT/hooks/lib/i18n.sh"
 
-aide() { sed -n '2,15p' "$ROOT/bin/repowarden" | sed 's/^# \{0,1\}//'; }
+aide() { sed -n '2,21p' "$ROOT/bin/repowarden" | sed 's/^# \{0,1\}//'; }
 
 commande="${1:-}"
 [ $# -eq 0 ] || shift
@@ -48,6 +54,12 @@ case "$commande" in
     code-mort | deadcode) exec bash "$ROOT/bin/code-mort" "$@" ;;
     tickets) exec bash "$ROOT/bin/tickets" "$@" ;;
     ticket) exec bash "$ROOT/bin/ticket" "$@" ;;
+    ticket-comment) exec bash "$ROOT/bin/ticket-comment" "$@" ;;
+    ticket-label) exec bash "$ROOT/bin/ticket-label" "$@" ;;
+    pr-label) exec bash "$ROOT/bin/pr-label" "$@" ;;
+    run-rerun) exec bash "$ROOT/bin/run-rerun" "$@" ;;
+    run-list) exec bash "$ROOT/bin/run-list" "$@" ;;
+    pr-checks) exec bash "$ROOT/bin/pr-checks" "$@" ;;
     proteger | protect) exec bash "$ROOT/bin/proteger" "$@" ;;
     npm-publication | npm-publish) exec bash "$ROOT/bin/npm-publication" "$@" ;;
     app) exec bash "$ROOT/bin/app" "$@" ;;

package/bin/run-list

@@ -0,0 +1,58 @@
+#!/usr/bin/env bash
+# Lister les runs de workflow GitHub Actions
+#   repowarden run list [--workflow <nom>] [--limit N]
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
+# shellcheck source=../hooks/lib/common.sh
+source "$ROOT/hooks/lib/common.sh"
+# shellcheck source=../hooks/lib/i18n.sh
+source "$ROOT/hooks/lib/i18n.sh"
+
+aide() {
+    cat <<EOF
+Usage: repowarden run list [--workflow <nom>] [--limit N]
+
+Liste les runs de workflows récents.
+
+Options:
+  --workflow <nom>   Filtre par nom de workflow
+  --limit N          Nombre max de runs (défaut: 20)
+
+Exemples:
+  repowarden run list
+  repowarden run list --workflow "CI" --limit 10
+EOF
+}
+
+if [[ "$1" == "--help" || "$1" == "-h" ]]; then
+    aide
+    exit 0
+fi
+command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
+
+workflow=""
+limit=20
+
+while [ $# -gt 0 ]; do
+    case "$1" in
+        --workflow) shift; workflow="${1:?--workflow attend un nom}" ;;
+        --limit) shift; limit="${1:?--limit attend un nombre}" ;;
+        *) err_t install.unknown_arg "$1"; exit 1 ;;
+    esac
+    shift
+done
+
+repo="${GH_REPO:-$(gh repo view --json nameWithOwner -q .nameWithOwner)}"
+
+if [ -n "$workflow" ]; then
+    step_t run.listing.workflow "$workflow"
+    gh run list --repo "$repo" --workflow "$workflow" --limit "$limit" \
+        --json databaseId,name,conclusion,createdAt,headBranch \
+        --template '{{range .}}{{.databaseId}}	{{.name}}	{{.conclusion}}	{{.createdAt}}	{{.headBranch}}{{"\n"}}{{end}}'
+else
+    step_t run.listing.all
+    gh run list --repo "$repo" --limit "$limit" \
+        --json databaseId,name,conclusion,createdAt,headBranch \
+        --template '{{range .}}{{.databaseId}}	{{.name}}	{{.conclusion}}	{{.createdAt}}	{{.headBranch}}{{"\n"}}{{end}}'
+fi

package/bin/run-rerun

@@ -0,0 +1,65 @@
+#!/usr/bin/env bash
+# Relancer un workflow GitHub Actions échoué
+#   repowarden run rerun <run-id|--failed|--workflow>
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
+# shellcheck source=../hooks/lib/common.sh
+source "$ROOT/hooks/lib/common.sh"
+# shellcheck source=../hooks/lib/i18n.sh
+source "$ROOT/hooks/lib/i18n.sh"
+
+aide() {
+    cat <<EOF
+Usage: repowarden run rerun <run-id|--failed|--workflow <nom>>
+
+Relance un workflow GitHub Actions.
+
+Options:
+  <run-id>           ID du run à relancer
+  --failed           Relance le dernier run échoué du repo
+  --workflow <nom>   Relance le dernier run du workflow spécifié
+
+Exemples:
+  repowarden run rerun 123456789
+  repowarden run rerun --failed
+  repowarden run rerun --workflow "CI"
+EOF
+}
+
+[ $# -ge 1 ] || { aide >&2; exit 1; }
+if [[ "$1" == "--help" || "$1" == "-h" ]]; then
+    aide
+    exit 0
+fi
+command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
+
+arg="${1}"
+run_id=""
+
+case "$arg" in
+    --failed)
+        step_t run.rerun.failed
+        run_id=$(gh run list --repo "${GH_REPO:-$(gh repo view --json nameWithOwner -q .nameWithOwner)}" --limit 1 --json databaseId,conclusion --jq '.[] | select(.conclusion=="failure") | .databaseId')
+        [ -n "$run_id" ] || { err_t run.rerun.none_failed; exit 1; }
+        ;;
+    --workflow)
+        shift
+        workflow="${1:?--workflow attend un nom}"
+        step_t run.rerun.workflow "$workflow"
+        run_id=$(gh run list --repo "${GH_REPO:-$(gh repo view --json nameWithOwner -q .nameWithOwner)}" --workflow "$workflow" --limit 1 --json databaseId --jq '.[0].databaseId')
+        [ -n "$run_id" ] || { err_t run.rerun.none_workflow "$workflow"; exit 1; }
+        ;;
+    *)
+        if [[ "$arg" =~ ^[0-9]+$ ]]; then
+            run_id="$arg"
+        else
+            err_t install.unknown_arg "$arg"
+            exit 1
+        fi
+        ;;
+esac
+
+step_t run.rerun.running "$run_id"
+gh run rerun "$run_id"
+ok_t run.rerun.done "$run_id"

package/bin/statut

@@ -81,6 +81,7 @@ if [ -n "$GIT_TOPLEVEL" ]; then
         fi
     fi
     info_t st.repo_forge "$FORGE"
+    [ "$FORGE" != github ] || dim_t st.repo_rules
 fi
 
 # Outils : secrets, code mort (selon les langages)

package/bin/ticket

@@ -5,6 +5,9 @@
 #   repowarden ticket nouveau "<titre>" [--type fix] [--description "…"]
 #                                            crée le ticket (« à valider » si le suivi
 #                                            est géré par repowarden, sinon avec sa branche)
+#   repowarden ticket comment <n> "<texte>"  ajoute un commentaire sur le ticket
+#   repowarden ticket label <n> <label> [--remove]
+#                                            gère les labels du ticket
 #   repowarden ticket                        ticket de la branche courante
 # Demande un gh connecté (https://cli.github.com).
 set -euo pipefail
@@ -108,6 +111,8 @@ cmd_nouveau() {
 case "${1:-}" in
     -h | --help | help) aide ;;
     nouveau | new) shift; cmd_nouveau "$@" ;;
+    comment) shift; exec bash "$ROOT/bin/ticket-comment" "$@" ;;
+    label) shift; exec bash "$ROOT/bin/ticket-label" "$@" ;;
     "")
         branche="$(git symbolic-ref --short HEAD 2>/dev/null || echo "")"
         branch_ticket_r "$branche"

package/bin/ticket-comment

@@ -0,0 +1,32 @@
+#!/usr/bin/env bash
+# Ajouter un commentaire sur un ticket GitHub
+#   repowarden ticket comment <n> "<texte>"
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
+# shellcheck source=../hooks/lib/common.sh
+source "$ROOT/hooks/lib/common.sh"
+# shellcheck source=../hooks/lib/i18n.sh
+source "$ROOT/hooks/lib/i18n.sh"
+
+aide() {
+    cat <<EOF
+Usage: repowarden ticket comment <n> "<texte>"
+
+Ajoute un commentaire sur le ticket #<n>.
+
+Exemples:
+  repowarden ticket comment 123 "Conception retenue : ..."
+  repowarden ticket comment 456 "PR prête pour review"
+EOF
+}
+
+[ $# -ge 2 ] || { aide >&2; exit 1; }
+command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
+
+n="${1}"
+texte="${2}"
+
+step_t tk.comment.adding "$n"
+gh issue comment "$n" --body "$texte"
+ok_t tk.comment.added "$n"