repowarden 4.4.0 → 4.7.1

package/README.md

@@ -1,18 +1,18 @@
 # repowarden
 
-[![CI](https://github.com/SimBienvenueHoulBoumi/repowarden/actions/workflows/ci.yml/badge.svg)](https://github.com/SimBienvenueHoulBoumi/repowarden/actions/workflows/ci.yml)
-[![e2e](https://github.com/SimBienvenueHoulBoumi/repowarden/actions/workflows/e2e.yml/badge.svg)](https://github.com/SimBienvenueHoulBoumi/repowarden/actions/workflows/e2e.yml)
-[![Release](https://img.shields.io/github/v/release/SimBienvenueHoulBoumi/repowarden)](https://github.com/SimBienvenueHoulBoumi/repowarden/releases)
+[![CI](https://github.com/simdevWarden/repowarden/actions/workflows/ci.yml/badge.svg)](https://github.com/simdevWarden/repowarden/actions/workflows/ci.yml)
+[![e2e](https://github.com/simdevWarden/repowarden/actions/workflows/e2e.yml/badge.svg)](https://github.com/simdevWarden/repowarden/actions/workflows/e2e.yml)
+[![Release](https://img.shields.io/github/v/release/simdevWarden/repowarden)](https://github.com/simdevWarden/repowarden/releases)
 [![npm](https://img.shields.io/npm/v/repowarden)](https://www.npmjs.com/package/repowarden)
-[![Documentation](https://img.shields.io/badge/docs-site-indigo)](https://simbienvenuehoulboumi.github.io/repowarden/)
-[![OpenSSF Scorecard](https://api.scorecard.dev/projects/github.com/SimBienvenueHoulBoumi/repowarden/badge)](https://scorecard.dev/viewer/?uri=github.com/SimBienvenueHoulBoumi/repowarden)
+[![Documentation](https://img.shields.io/badge/docs-site-indigo)](https://simdevwarden.github.io/repowarden/)
+[![OpenSSF Scorecard](https://api.scorecard.dev/projects/github.com/simdevWarden/repowarden/badge)](https://scorecard.dev/viewer/?uri=github.com/simdevWarden/repowarden)
 [![Licence MIT](https://img.shields.io/badge/licence-MIT-blue)](LICENSE)
 
 **repowarden** garde l'entrée de vos dépôts Git : messages de commit, nommage des branches, secrets, formatage et tests, **quel que soit le langage** — sur les postes (hooks), en CI (GitHub, GitLab) et côté serveur.
 
-📖 **Documentation : https://simbienvenuehoulboumi.github.io/repowarden/** · 🇬🇧 **English: https://simbienvenuehoulboumi.github.io/repowarden/en/**
+📖 **Documentation : https://simdevwarden.github.io/repowarden/** · 🇬🇧 **English: https://simdevwarden.github.io/repowarden/en/**
 
-> **v4 : repogarde devient repowarden** (paquet npm `repowarden`) et lefthook n'est plus pris en charge. Les anciens noms restent lus en v4. Marche à suivre : [Passer à la v4](https://simbienvenuehoulboumi.github.io/repowarden/migration-v4/).
+> **v4 : repogarde devient repowarden** (paquet npm `repowarden`) et lefthook n'est plus pris en charge. Les anciens noms restent lus en v4. Marche à suivre : [Passer à la v4](https://simdevwarden.github.io/repowarden/migration-v4/).
 
 ## Ce qu'il fait
 
@@ -23,18 +23,51 @@
 - **Tests** : au push et en CI, seulement les projets touchés, sur le commit poussé.
 - **Code mort** : seul le nouveau code mort est signalé, prouvé (bloquant) ou candidat (à vérifier) ; `repowarden code-mort` en local.
 - **Tickets** : chaque PR est reliée à un ticket validé (créé automatiquement s'il manque), suivi de « à valider » à « done » à la release ; `repowarden tickets init`.
-- **Versions et releases** : les commits étant conventionnels, la version suivante (semver) et le changelog se déduisent de l'historique ; un workflow réutilisable en fait des releases automatiques (PR de release validée par la CI puis mergée, tag, release), sans jeton ni intervention.
+- **Versions et releases** : les commits étant conventionnels, la version suivante (semver) et le changelog se déduisent de l'historique ; un workflow réutilisable en fait des releases automatiques (PR de release validée par la CI puis mergée, tag, release), sans jeton ; dans le flux `develop` → `main`, un clic d'approbation par livraison.
 
-**Plus de 25 technologies** : Java (Maven, Gradle), JavaScript / TypeScript, Python, Go, Rust, PHP, Ruby, .NET, Dart / Flutter, Swift, Elixir, C / C++, Shell, Terraform, Packer, Ansible, Helm, Kubernetes, Docker, GitHub Actions — [détail](https://simbienvenuehoulboumi.github.io/repowarden/technologies/). Linux, macOS, Windows.
+**Plus de 25 technologies** : Java (Maven, Gradle), JavaScript / TypeScript, Python, Go, Rust, PHP, Ruby, .NET, Dart / Flutter, Swift, Elixir, C / C++, Shell, Terraform, Packer, Ansible, Helm, Kubernetes, Docker, GitHub Actions — [détail](https://simdevwarden.github.io/repowarden/technologies/). Linux, macOS, Windows.
+
+## Le cycle d'une modification
+
+De l'idée à la production, chaque changement suit le même chemin. Tu n'agis qu'aux étapes **en gras** ; le reste est automatique, et chaque étape est vérifiée par la CI.
+
+```mermaid
+flowchart LR
+    A[Ticket] -->|validé| B[Conception]
+    B --> C[Branche du ticket]
+    C -->|commits + push| D[PR brouillon]
+    D -->|Ready for review| E{CI verte ?}
+    E -->|oui| F[develop]
+    E -->|non| C
+    F -->|vendredi, ou à la main| G[Demande de livraison]
+    G -->|Approve and deploy| H[main : release]
+```
+
+| # | Étape | Qui | Ce qui se passe | Statut du ticket |
+|---|---|---|---|---|
+| 1 | Ouvrir un ticket (issue) | toi | rien ne se code sans ticket | à valider |
+| 2 | **Valider le ticket** | toi | étiquette `validé` (posée d'office si un mainteneur ouvre le ticket) | backlog |
+| 3 | **Écrire la conception** | toi | commentaire « Conception retenue » sur le ticket : ce qui change, fichiers touchés, hors périmètre. Sans elle, la vérification `ticket` de la PR échoue | backlog |
+| 4 | **Prendre le ticket** | toi | `repowarden ticket 12` : assigné, branche `fix/12-sujet` créée depuis `develop` | en cours |
+| 5 | Coder et committer | toi | `git cc` ; les hooks vérifient message, branche, secrets, formatage, puis les tests au push | en cours |
+| 6 | Premier push | auto | PR **brouillon** vers `develop` ouverte, titre et description tirés du ticket | en cours |
+| 7 | **Sortir du brouillon** | toi | bouton *Ready for review* (`gh pr ready`) | en relecture |
+| 8 | Vérifier et intégrer | auto | CI complète ; verte → **merge automatique** (squash) dans `develop`. Rouge → corriger et pousser, retour en 5 | préprod |
+| 9 | Préversion | auto | chaque soir si `develop` a changé : `vX.Y.Z-next.N` (paquet `repowarden@next`), pour tester avant la prod | préprod |
+| 10 | Demande de livraison | auto | le vendredi matin, ou à la main (*Actions → release → Run workflow*, ou étiquette `urgent` sur une PR `fix/…`) : instantané `livraison/vX.Y.Z` et sa PR vers `main` | préprod |
+| 11 | **Approuver la livraison** | toi | sur la page du run : **Review deployments → Approve and deploy** (pas « Approve » sur la PR, qui est une simple relecture) | préprod |
+| 12 | Publier | auto | la GitHub App merge vers `main` : tag `vX.Y.Z`, release, paquet npm, documentation | done, ticket fermé |
+
+Seul `develop` entre dans `main`, et jamais sans l'approbation de l'étape 11. Une PR `develop` → `main` ouverte à la main est fermée automatiquement, avec la marche à suivre. Pas à pas, commandes et pièges : [où cliquer](https://simdevwarden.github.io/repowarden/validation/#ou-cliquer).
 
 ## Démarrage
 
 ### 1. Sur ton poste, en une minute (tous tes dépôts)
 
 ```bash
-npm install -g repowarden     # 1. le paquet (yarn global add, pnpm add -g : idem)
-repowarden install --global           # 2. active les hooks : demande la langue, installe git cc
-repowarden                            # 3. vérifie : état du poste et étape suivante
+npm install -g repowarden      # 1. le paquet (yarn global add, pnpm add -g : idem)
+repowarden install --global    # 2. active les hooks : demande la langue, installe git cc
+repowarden                     # 3. vérifie : état du poste et étape suivante
 ```
 
 L'étape 2 est indispensable : par sécurité, le paquet n'exécute rien à l'installation (aucun script `postinstall`, que npm 12 bloque d'ailleurs). Ensuite, dans **n'importe quel dépôt**, les hooks s'appliquent dès le prochain commit. Rien n'est ajouté aux projets ni à leur `package.json`.
@@ -44,7 +77,7 @@ cd mon-projet
 git switch -c feat/panier            # nom de branche vérifié
 git add . && git cc                  # assistant : type, scope, description… puis commit
 git push -u origin feat/panier       # tests des projets touchés avant l'envoi
-repowarden code-mort                  # nouveau code mort de ta branche
+repowarden code-mort                 # nouveau code mort de ta branche
 ```
 
 | Action | Commande |
@@ -52,11 +85,17 @@ repowarden code-mort                  # nouveau code mort de ta branche
 | État du poste, étape suivante | `repowarden` (ou `repowarden statut`) |
 | Toutes les commandes | `repowarden --help` (`cc`, `code-mort`, `proteger`, `npm-publication`…) |
 | Mettre à jour | `npm update -g repowarden` (les hooks suivent) |
+| Tester la prochaine version | `npm install -g repowarden@next` (retour : `repowarden@latest`) ; en CI : `uses: simdevWarden/repowarden@develop` |
 | Désinstaller | `repowarden uninstall --global`, **puis** `npm uninstall -g repowarden` (dans cet ordre : npm n'exécute rien à la désinstallation, les hooks resteraient branchés sur un dossier supprimé) |
 
-Sans Node : `git clone https://github.com/SimBienvenueHoulBoumi/repowarden.git ~/repowarden && ~/repowarden/install.sh --global` (mise à jour : `git -C ~/repowarden pull`).
+Sans Node : `git clone https://github.com/simdevWarden/repowarden.git ~/repowarden && ~/repowarden/install.sh --global` (mise à jour : `git -C ~/repowarden pull`).
 
-**Tester la prochaine version** (avant sa sortie en production) : `npm install -g repowarden@next`, ou `uses: SimBienvenueHoulBoumi/repowarden@develop` en CI. Retour à la version stable : `npm install -g repowarden@latest`. Les problèmes se signalent en [issue](https://github.com/SimBienvenueHoulBoumi/repowarden/issues).
+**Nouvelle machine** : ces trois commandes suffisent. Les règles du dépôt, l'environnement de livraison, la GitHub App, ses secrets et la publication npm vivent sur GitHub et npm : rien à reconfigurer. La clé privée de l'App ne doit jamais se trouver sur un poste.
+
+> [!NOTE]
+> **GitHub CLI (`gh`) : facultatif.**
+> Sans `gh` : tous les hooks (commits, branches, secrets, formatage, tests), `git cc`, `repowarden code-mort`, `repowarden statut`, et la CI (GitHub ou GitLab), qui n'utilise jamais le `gh` du poste.
+> Avec `gh` connecté (`gh auth login`), en plus : les tickets (`repowarden ticket`, `tickets`, branches de tes tickets créées en local) et la gestion du dépôt (`proteger`, `app init`, `npm-publication`, `pr-*`, `run-*`). Utile au mainteneur du dépôt GitHub ; chaque commande le signale s'il manque.
 
 ### 2. Dans un projet d'équipe : les mêmes règles pour tous
 
@@ -71,34 +110,56 @@ L'essentiel des deux fichiers :
 
 ```yaml
 # .github/workflows/repowarden.yml : vérifications de la PR (dernière version 4.x)
-- uses: SimBienvenueHoulBoumi/repowarden@v4
+- uses: simdevWarden/repowarden@v4
   with: { strict: true }      # un outil manquant fait échouer la CI
 ```
 
 ```ini
 # .repowarden.conf : un poste en retard est prévenu, avec la commande de mise à jour
 [repowarden]
-    version = 3
+    version = 4
+```
+
+Puis rendre la CI obligatoire pour merger (`gh` connecté, admin du dépôt) :
+
+```bash
+repowarden proteger --checks "repowarden,tests"   # toutes les vérifications exigées, séparées par des virgules
+repowarden proteger --checks "repowarden,tests" --verifier   # plus tard : règles en ligne à jour ? (lecture seule)
+```
+
+Toujours passer **toutes** les vérifications à `--checks` : sans lui, seule `repowarden` reste exigée. Avec un flux `develop` → `main`, `proteger` crée aussi l'étiquette `urgent` et exige l'approbation de chaque livraison : utiliser le [modèle de release du flux develop](https://simdevwarden.github.io/repowarden/releases/), sinon `main` attendrait un déploiement que rien ne crée (`proteger` le signale).
+
+Exemple complet : [repowarden-demo](https://github.com/simdevWarden/repowarden-demo) · Releases automatiques : [documentation](https://simdevwarden.github.io/repowarden/releases/).
+
+### 3. GitHub App pour l'automatisation (merge auto, tickets, releases)
+
+Pour que les workflows déclenchent les autres workflows (merge auto, tickets, releases), il faut une GitHub App au lieu du `GITHUB_TOKEN` :
+
+```bash
+repowarden app init
 ```
 
-Puis rendre la CI obligatoire pour merger : `repowarden proteger` (protection de `main`, check `repowarden` exigé).
+1. Ouvre la page locale → clique « Create GitHub App » sur GitHub
+2. Clique « Install » sur ton dépôt ou ton organisation
+3. Les secrets `REPOWARDEN_APP_CLIENT_ID` / `REPOWARDEN_APP_KEY` sont configurés automatiquement
 
-Exemple complet : [repowarden-demo](https://github.com/SimBienvenueHoulBoumi/repowarden-demo) · Releases automatiques : [documentation](https://simbienvenuehoulboumi.github.io/repowarden/releases/).
+Sans cette étape, le `GITHUB_TOKEN` des Actions est utilisé : **ce qu'il fait ne déclenche pas les autres workflows** (merge auto, tickets, préversions).
 
-### 3. Contribuer à repowarden
+### 4. Contribuer à repowarden
 
 ```bash
-git clone https://github.com/SimBienvenueHoulBoumi/repowarden.git && cd repowarden
+git clone https://github.com/simdevWarden/repowarden.git && cd repowarden
 ./install.sh                         # repowarden se vérifie lui-même (hooks de ce dépôt)
-bats test/                           # tests (bats-core), aussi lancés au push
+brew install shellcheck bats-core actionlint gitleaks   # outils des vérifications (ou équivalent Linux)
+bats test/                           # tests, aussi lancés au push
 ```
 
-Les PR visent `develop` ; `main` ne reçoit que les livraisons, qui déclenchent les releases. Voir [CONTRIBUTING.md](CONTRIBUTING.md).
+Les PR visent `develop` ; `main` ne reçoit que les livraisons, qui déclenchent les releases. Tout part d'un ticket : voir [AGENTS.md](AGENTS.md) et [CONTRIBUTING.md](CONTRIBUTING.md). Les problèmes se signalent en [issue](https://github.com/simdevWarden/repowarden/issues).
 
-**Dans VS Code** : l'extension [repowarden-vscode](https://github.com/SimBienvenueHoulBoumi/repowarden-vscode) guide la rédaction des commits, signale une branche mal nommée et des hooks inactifs. En attendant sa publication sur le Marketplace : `.vsix` dans ses [releases](https://github.com/SimBienvenueHoulBoumi/repowarden-vscode/releases), puis `code --install-extension repowarden-X.Y.Z.vsix`.
+**Dans VS Code** : l'extension [repowarden-vscode](https://github.com/simdevWarden/repowarden-vscode) guide la rédaction des commits, signale une branche mal nommée et des hooks inactifs. En attendant sa publication sur le Marketplace : `.vsix` dans ses [releases](https://github.com/simdevWarden/repowarden-vscode/releases), puis `code --install-extension repowarden-X.Y.Z.vsix`.
 
 ## Liens
 
-[Démarrage rapide](https://simbienvenuehoulboumi.github.io/repowarden/demarrage/) · [Hooks et règles](https://simbienvenuehoulboumi.github.io/repowarden/hooks/) · [Technologies](https://simbienvenuehoulboumi.github.io/repowarden/technologies/) · [Configuration](https://simbienvenuehoulboumi.github.io/repowarden/configuration/) · [CI](https://simbienvenuehoulboumi.github.io/repowarden/ci/) · [Versions et releases](https://simbienvenuehoulboumi.github.io/repowarden/releases/) · [Validation humaine](https://simbienvenuehoulboumi.github.io/repowarden/validation/) · [Code mort](https://simbienvenuehoulboumi.github.io/repowarden/code-mort/) · [En organisation](https://simbienvenuehoulboumi.github.io/repowarden/industrialisation/) · [Sources internes (Nexus, Artifactory)](https://simbienvenuehoulboumi.github.io/repowarden/industrialisation/#8-sources-internes-reseau-ferme-nexus-artifactory) · [Désinstallation](https://simbienvenuehoulboumi.github.io/repowarden/desinstallation/) · [Sécurité](SECURITY.md) · [Contribuer](CONTRIBUTING.md) · [Changelog](CHANGELOG.md)
+[Démarrage rapide](https://simdevwarden.github.io/repowarden/demarrage/) · [Hooks et règles](https://simdevwarden.github.io/repowarden/hooks/) · [Technologies](https://simdevwarden.github.io/repowarden/technologies/) · [Configuration](https://simdevwarden.github.io/repowarden/configuration/) · [CI](https://simdevwarden.github.io/repowarden/ci/) · [Versions et releases](https://simdevwarden.github.io/repowarden/releases/) · [Validation humaine](https://simdevwarden.github.io/repowarden/validation/) · [Code mort](https://simdevwarden.github.io/repowarden/code-mort/) · [En organisation](https://simdevwarden.github.io/repowarden/industrialisation/) · [Sources internes (Nexus, Artifactory)](https://simdevwarden.github.io/repowarden/industrialisation/#8-sources-internes-reseau-ferme-nexus-artifactory) · [Désinstallation](https://simdevwarden.github.io/repowarden/desinstallation/) · [Sécurité](SECURITY.md) · [Contribuer](CONTRIBUTING.md) · [Changelog](CHANGELOG.md)
 
 Licence [MIT](LICENSE).

package/bin/commit

@@ -6,7 +6,7 @@
 #                                      sans cela, la ligne suivante serait lue
 #                                      comme une nouvelle réponse)
 #   git cc -m "description" [--type T] [--scope S] [--breaking NOTE]
-#          [--body TEXTE] [--refs "Closes #12"]
+#          [--body TEXTE] [--refs "Ticket : #12"]
 #                                      sans question (scripts, agents) : mêmes
 #                                      contrôles, toute réponse refusée arrête
 #                                      tout ; type et scope déduits de la
@@ -173,14 +173,19 @@ while :; do
         type="$answer"
         break
     fi
-    t cc.type_invalid "$answer" "${#TYPES[@]}"
+    type_proche_r "$(printf '%s' "$answer" | tr '[:upper:]' '[:lower:]')"
+    if [ -n "$REPLY" ]; then
+        t cc.type_invalid_suggest "$answer" "$REPLY" "${#TYPES[@]}"
+    else
+        t cc.type_invalid "$answer" "${#TYPES[@]}"
+    fi
     refuse "$REPLY"
 done
 
 # 2. Scope (optionnel)
 t cc.step2
 etape 2 "$REPLY"
-t cc.scope_hint
+if [ -n "$default_scope" ]; then t cc.scope_hint_default "$default_scope"; else t cc.scope_hint; fi
 hint "$REPLY"
 while :; do
     if [ -n "$default_scope" ]; then
@@ -335,9 +340,9 @@ ticket=""
 branch_ticket_r "$branch"
 [ -z "$REPLY" ] || ticket="Ticket : #$REPLY"
 # Branche de travail sans ticket : prévenu, jamais bloqué. Création proposée
-# seulement si repowarden gère la vie des tickets du projet (et sans -m)
+# seulement si repowarden gère la vie des tickets du projet ET ticketAutoCreate (et sans -m)
 if [ -z "$ticket" ] && [ -z "$DRY_RUN" ] && ! skipped tickets && work_branch "$branch"; then
-    if [ -z "$BATCH" ] && tickets_managed && has gh; then
+    if [ -z "$BATCH" ] && tickets_managed && ticket_auto_create && has gh; then
         t cc.ticket_offer
         ask_yn "$REPLY" n
         if [ -n "$YN" ] && n="$(bash "$ROOT/bin/ticket" nouveau "$description" --type "$type" --porcelain)" && [ -n "$n" ]; then
@@ -352,7 +357,8 @@ fi
 if [ -n "$ticket" ]; then
     t cc.refs_prompt_ticket "$ticket"
 else
-    t cc.refs_prompt "$FORGE_REFS"
+    cfg_r integrationBranch ""
+    if [ -n "$REPLY" ]; then t cc.refs_prompt "Ticket : #12"; else t cc.refs_prompt "$FORGE_REFS"; fi
 fi
 ANSWER="$OPT_REFS"
 ask "$REPLY"

package/bin/pr-checks

@@ -0,0 +1,35 @@
+#!/usr/bin/env bash
+# Vérifier les checks d'une PR
+#   repowarden pr checks <n>
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
+# shellcheck source=../hooks/lib/common.sh
+source "$ROOT/hooks/lib/common.sh"
+# shellcheck source=../hooks/lib/i18n.sh
+source "$ROOT/hooks/lib/i18n.sh"
+
+aide() {
+    cat <<EOF
+Usage: repowarden pr checks <n>
+
+Affiche l'état des checks de la PR #<n>.
+
+Exemple:
+  repowarden pr checks 123
+EOF
+}
+
+[ $# -eq 1 ] || { aide >&2; exit 1; }
+if [[ "$1" == "--help" || "$1" == "-h" ]]; then
+    aide
+    exit 0
+fi
+command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
+
+n="${1}"
+
+step_t pr.checks.checking "$n"
+gh api "repos/{{owner}}/{{repo}}/pulls/$n/check-runs" --jq '.check_runs[] | {name: .name, conclusion: .conclusion, status: .status, url: .html_url}' 2>/dev/null | while IFS= read -r line; do
+    echo "$line"
+done

package/bin/pr-label

@@ -0,0 +1,51 @@
+#!/usr/bin/env bash
+# Gérer les labels d'une PR GitHub
+#   repowarden pr label <n> <label> [--remove]
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
+# shellcheck source=../hooks/lib/common.sh
+source "$ROOT/hooks/lib/common.sh"
+# shellcheck source=../hooks/lib/i18n.sh
+source "$ROOT/hooks/lib/i18n.sh"
+
+aide() {
+    cat <<EOF
+Usage: repowarden pr label <n> <label> [--remove]
+
+Ajoute ou retire un label sur la PR #<n>.
+
+Options:
+  --remove    Retire le label au lieu de l'ajouter
+
+Exemples:
+  repowarden pr label 123 "ready-for-review"
+  repowarden pr label 123 "needs-changes" --remove
+EOF
+}
+
+[ $# -ge 2 ] || { aide >&2; exit 1; }
+command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
+
+n="${1}"
+label="${2}"
+remove=false
+
+shift 2
+while [ $# -gt 0 ]; do
+    case "$1" in
+        --remove) remove=true ;;
+        *) err_t install.unknown_arg "$1"; exit 1 ;;
+    esac
+    shift
+done
+
+if [ "$remove" = true ]; then
+    step_t pr.label.removing "$label" "$n"
+    gh pr edit "$n" --remove-label "$label"
+    ok_t pr.label.removed "$label" "$n"
+else
+    step_t pr.label.adding "$label" "$n"
+    gh pr edit "$n" --add-label "$label"
+    ok_t pr.label.added "$label" "$n"
+fi

package/bin/proteger

@@ -11,8 +11,10 @@
 #
 #   bin/proteger [--repo propriétaire/nom] [--checks "repowarden,tests (ubuntu-latest)"] [--relecteurs N]
 #                [--codeowners] [--environnement NOM] [--approbateurs "login …"]
-#                [--sans-tags] [--dry-run]
+#                [--sans-tags] [--dry-run] [--verifier]
 # --sans-tags : dépôt qui déplace lui-même un tag (tag majeur flottant v2…).
+# --verifier : compare les règles en ligne à celles attendues, sans rien modifier
+# (après une mise à jour de repowarden ou de .repowarden.conf).
 # Réglages équivalents dans .repowarden.conf (requiredReviews, codeOwnerReview,
 # unattributedApproval, deliveryApproval, environment, environmentReviewers). Demande un gh connecté, admin du dépôt.
 set -euo pipefail
@@ -38,17 +40,20 @@ APPROVERS="$REPLY"
 REPO=""
 CHECKS="repowarden"
 DRY_RUN=""
+VERIFY=""
+CHECKS_SET=""
 NO_TAGS=""
 while [ $# -gt 0 ]; do
     case "$1" in
         --repo) shift; REPO="${1:?--repo attend propriétaire/nom}" ;;
-        --checks) shift; CHECKS="${1:?--checks attend une liste}" ;;
+        --checks) shift; CHECKS="${1:?--checks attend une liste}"; CHECKS_SET=1 ;;
         --relecteurs) shift; REVIEWS="${1:?--relecteurs attend un nombre}" ;;
         --codeowners) CODEOWNERS=true ;;
         --environnement) shift; ENVIRONMENT="${1:?--environnement attend un nom}" ;;
         --approbateurs) shift; APPROVERS="${1:?--approbateurs attend des logins}" ;;
         --sans-tags) NO_TAGS=1 ;;
         --dry-run) DRY_RUN=1 ;;
+        --verifier) VERIFY=1 ;;
         -h | --help) sed -n '2,18p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
         *) err_t install.unknown_arg "$1"; exit 1 ;;
     esac
@@ -58,9 +63,14 @@ done
 [[ "$REVIEWS" =~ ^[0-9]$ ]] || { err_t ci.proteger.reviews_invalid; exit 1; }
 [[ "$CODEOWNERS" =~ ^(true|false)$ ]] || { err_t ci.proteger.codeowners_invalid; exit 1; }
 [[ "$UNATTRIBUTED" =~ ^(true|false)$ ]] || { err_t ci.proteger.unattributed_invalid; exit 1; }
+# Dev solo (une seule personne avec l'écriture) : aucune règle n'exige une
+# autre personne, qui n'existe pas. Nombre inconnu (appel en échec) : pas solo.
+solo=false
+[ "$(gh api "repos/$REPO/collaborators?per_page=100" \
+    --jq '[.[] | select(.permissions.push)] | length' 2>/dev/null)" = 1 ] && solo=true
 # Avec relecture : le dernier à pousser ne peut pas approuver son propre push
 last_push=false
-[ "$REVIEWS" = 0 ] || last_push=true
+[ "$REVIEWS" = 0 ] || [ "$solo" = true ] || last_push=true
 
 cfg_r protectedBranches "main master"
 protected="$REPLY"
@@ -161,8 +171,10 @@ if [ -n "$integration" ]; then
     # Livraison vers main = passage à une nouvelle version : approbation
     # humaine obligatoire (la PR de livraison est ouverte par le workflow,
     # le mainteneur peut donc l'approuver), sans exiger un autre approbateur
-    # que l'auteur du dernier push sauf si des relectures sont configurées
+    # que l'auteur du dernier push sauf si des relectures sont configurées.
+    # Dev solo : pas de minimum (l'auteur de la PR ne peut pas l'approuver)
     livraison=$((REVIEWS > 0 ? REVIEWS : 1))
+    [ "$solo" = false ] || livraison="$REVIEWS"
     # deliveryApproval = deployment (défaut) : la validation humaine est
     # l'approbation de l'environnement de livraison (« Approve and deploy »),
     # exigée par une règle de main (déploiement réussi) ; la revue de PR n'est
@@ -182,12 +194,12 @@ if [ -n "$integration" ]; then
     # release). Une livraison n'apporte que develop, vérifiée par la CI ; le
     # retour reste fait quand main a un contenu propre (correctif direct).
     [ -z "$others" ] || rulesets+=("$(branch_ruleset repowarden "$others" '"merge"' false "$livraison" "$last_push" "$deploiement")")
-    # Branche d'intégration : PR à jour non exigée. Le retour de main (après
-    # une release) serait sinon presque toujours en retard, et « mettre à jour »
-    # fusionnerait develop dans main en contournant la livraison ; la CI
-    # vérifie de toute façon chaque push sur develop.
+    # Branche d'intégration : squash seul (un commit par PR de travail, titre =
+    # message : les commits intermédiaires n'entrent jamais) ; plus de retour
+    # main → develop à merger, seuls develop et ses instantanés livraison/*
+    # entrant dans main. PR à jour non exigée : la CI vérifie chaque push.
     [[ " $existing " != *" $integration "* ]] ||
-        rulesets+=("$(branch_ruleset "repowarden ($integration)" "$integration" '"squash", "merge"' false)")
+        rulesets+=("$(branch_ruleset "repowarden ($integration)" "$integration" '"squash"' false)")
     merge_commit=true
     # Nettoyage par le workflow nettoyage-branches (garde une branche encore
     # source d'une autre PR ouverte)
@@ -202,6 +214,19 @@ if [ -n "$integration" ]; then
     if ! grep -qs "nettoyage-branches.yml" "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; then
         attention_t ci.proteger.no_cleanup
     fi
+    # Règle de déploiement sans workflow qui crée ce déploiement : main
+    # bloquée pour toujours (la livraison n'aurait jamais d'approbation)
+    if [ "$DELIVERY" = deployment ] &&
+        ! grep -qs "delivery-environment:" "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; then
+        attention_t ci.proteger.no_delivery_env "$ENVIRONMENT"
+    fi
+    # Demande de livraison (manuelle, planifiée) qui ne remplace pas celle en
+    # attente : une demande oubliée bloquerait en silence les suivantes
+    for wf in "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; do
+        grep -qs "release-auto.yml" "$wf" && grep -qsE "workflow_dispatch|schedule:" "$wf" &&
+            grep -qs "cancel-in-progress: false" "$wf" &&
+            attention_t ci.proteger.stale_concurrency "${wf#"$GIT_TOPLEVEL"/}"
+    done
     t ci.proteger.methods_flow "$integration"
     methods="$REPLY"
 else
@@ -238,6 +263,7 @@ fi
 echo_t ci.proteger.5 "$tags_msg"
 [ -z "$integration" ] || echo_t ci.proteger.6 "$integration"
 echo_t ci.proteger.7 "$REVIEWS" "$CODEOWNERS" "$UNATTRIBUTED"
+[ "$solo" = false ] || echo_t ci.proteger.solo
 if [ "$REVIEWS" != 0 ] || [ "$CODEOWNERS" = true ]; then
     echo_t ci.proteger.8
 fi
@@ -271,6 +297,56 @@ if [ -n "$ENVIRONMENT" ]; then
   \"deployment_branch_policy\": {\"protected_branches\": false, \"custom_branch_policies\": true}}"
     echo_t ci.proteger.9 "$ENVIRONMENT" "$APPROVERS"
 fi
+# Signature des champs posés par ce script : attendue (JSON produit ci-dessus)
+# et en ligne (gh --jq), comparables sans jq ni python
+sig_attendue() {
+    local r="$1" deps checks
+    deps="$(sed -n 's/.*"required_deployment_environments": \[\(.*\)\].*/\1/p' <<<"$r" | tr -d '" ')"
+    checks="$(grep -o '"context": "[^"]*"' <<<"$r" | sed 's/"context": "\(.*\)"/\1/' | LC_ALL=C sort | paste -sd, -)"
+    printf 'approbations=%s dernier_push=%s codeowners=%s deploiement=%s verifications=%s' \
+        "$(sed -n 's/.*"required_approving_review_count": \([0-9]*\).*/\1/p' <<<"$r")" \
+        "$(sed -n 's/.*"require_last_push_approval": \([a-z]*\).*/\1/p' <<<"$r")" \
+        "$(sed -n 's/.*"require_code_owner_review": \([a-z]*\).*/\1/p' <<<"$r")" "$deps" "$checks"
+}
+# shellcheck disable=SC2016 # expression jq (gh --jq), pas du shell
+SIG_EN_LIGNE='(.rules | map(select(.type == "pull_request"))[0].parameters) as $p
+    | "approbations=\($p.required_approving_review_count) dernier_push=\($p.require_last_push_approval) codeowners=\($p.require_code_owner_review) deploiement=\([.rules[] | select(.type == "required_deployments") | .parameters.required_deployment_environments[]] | join(",")) verifications=\([.rules[] | select(.type == "required_status_checks") | .parameters.required_status_checks[].context] | sort | join(","))"'
+
+if [ -n "$VERIFY" ]; then
+    ecarts=0
+    for ruleset in "${rulesets[@]}"; do
+        grep -q '"target": "branch"' <<<"$ruleset" || continue
+        name="$(sed -n 's/^  "name": "\(.*\)",$/\1/p' <<<"$ruleset")"
+        attendu="$(sig_attendue "$ruleset")"
+        id="$(gh api "repos/$REPO/rulesets" --jq ".[] | select(.name == \"$name\") | .id")"
+        en_ligne=""
+        [ -z "$id" ] || en_ligne="$(gh api "repos/$REPO/rulesets/$id" --jq "$SIG_EN_LIGNE")"
+        # Vérifications exigées : comparées seulement si --checks est donné (la
+        # liste n'est pas dans .repowarden.conf ; sinon faux écart)
+        if [ -z "$CHECKS_SET" ]; then
+            attendu="${attendu% verifications=*}"
+            en_ligne="${en_ligne% verifications=*}"
+        fi
+        if [ -z "$en_ligne" ]; then
+            err_t ci.proteger.verify_missing "$name"
+            ecarts=$((ecarts + 1))
+        elif [ "$en_ligne" != "$attendu" ]; then
+            err_t ci.proteger.verify_diff "$name" "$en_ligne" "$attendu"
+            ecarts=$((ecarts + 1))
+        fi
+    done
+    [ "$ecarts" = 0 ] || { err_t ci.proteger.verify_fix; exit 1; }
+    ok_t ci.proteger.verify_ok
+    exit 0
+fi
+
+# Étiquette « urgent » (flux develop) : son merge lance la demande de livraison
+urgent=""
+if [ -n "$integration" ] && ! gh api "repos/$REPO/labels/urgent" --silent 2>/dev/null; then
+    urgent=1
+    info_t ci.proteger.urgent
+fi
+
 if [ -n "$DRY_RUN" ]; then
     printf '%s\n' "${rulesets[@]}"
     [ -z "$env_json" ] || printf '%s\n' "$env_json"
@@ -311,4 +387,6 @@ if [ -n "$env_json" ]; then
     done
     ok_t ci.proteger.12 "$ENVIRONMENT"
 fi
+[ -z "$urgent" ] || gh label create urgent -R "$REPO" --color B60205 \
+    --description "Livraison immédiate après merge" >/dev/null
 ok_t ci.proteger.13

package/bin/repowarden

@@ -8,6 +8,12 @@
 #   repowarden code-mort                           nouveau code mort de la branche
 #   repowarden ticket <n>                         branche du ticket (créée, liée, si besoin)
 #   repowarden ticket nouveau "<titre>"           nouveau ticket
+#   repowarden ticket comment <n> "<texte>"       commentaire sur un ticket
+#   repowarden ticket label <n> <label> [--remove]  gère les labels d'un ticket
+#   repowarden pr label <n> <label> [--remove]     gère les labels d'une PR
+#   repowarden pr checks <n>                      vérifie les checks d'une PR
+#   repowarden run rerun <id|--failed|--workflow> relance un workflow
+#   repowarden run list [--workflow <nom>]        liste les runs récents
 #   repowarden tickets init                        suivi des tickets (GitHub)
 #   repowarden proteger [options]                  protection des branches (GitHub)
 #   repowarden npm-publication                     publication npm automatique
@@ -29,7 +35,7 @@ source "$ROOT/hooks/lib/ui.sh"
 # shellcheck source=../hooks/lib/i18n.sh
 source "$ROOT/hooks/lib/i18n.sh"
 
-aide() { sed -n '2,15p' "$ROOT/bin/repowarden" | sed 's/^# \{0,1\}//'; }
+aide() { sed -n '2,21p' "$ROOT/bin/repowarden" | sed 's/^# \{0,1\}//'; }
 
 commande="${1:-}"
 [ $# -eq 0 ] || shift
@@ -48,6 +54,12 @@ case "$commande" in
     code-mort | deadcode) exec bash "$ROOT/bin/code-mort" "$@" ;;
     tickets) exec bash "$ROOT/bin/tickets" "$@" ;;
     ticket) exec bash "$ROOT/bin/ticket" "$@" ;;
+    ticket-comment) exec bash "$ROOT/bin/ticket-comment" "$@" ;;
+    ticket-label) exec bash "$ROOT/bin/ticket-label" "$@" ;;
+    pr-label) exec bash "$ROOT/bin/pr-label" "$@" ;;
+    run-rerun) exec bash "$ROOT/bin/run-rerun" "$@" ;;
+    run-list) exec bash "$ROOT/bin/run-list" "$@" ;;
+    pr-checks) exec bash "$ROOT/bin/pr-checks" "$@" ;;
     proteger | protect) exec bash "$ROOT/bin/proteger" "$@" ;;
     npm-publication | npm-publish) exec bash "$ROOT/bin/npm-publication" "$@" ;;
     app) exec bash "$ROOT/bin/app" "$@" ;;

package/bin/run-list

@@ -0,0 +1,58 @@
+#!/usr/bin/env bash
+# Lister les runs de workflow GitHub Actions
+#   repowarden run list [--workflow <nom>] [--limit N]
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
+# shellcheck source=../hooks/lib/common.sh
+source "$ROOT/hooks/lib/common.sh"
+# shellcheck source=../hooks/lib/i18n.sh
+source "$ROOT/hooks/lib/i18n.sh"
+
+aide() {
+    cat <<EOF
+Usage: repowarden run list [--workflow <nom>] [--limit N]
+
+Liste les runs de workflows récents.
+
+Options:
+  --workflow <nom>   Filtre par nom de workflow
+  --limit N          Nombre max de runs (défaut: 20)
+
+Exemples:
+  repowarden run list
+  repowarden run list --workflow "CI" --limit 10
+EOF
+}
+
+if [[ "$1" == "--help" || "$1" == "-h" ]]; then
+    aide
+    exit 0
+fi
+command -v gh >/dev/null || { err_t bot.no_gh; exit 1; }
+
+workflow=""
+limit=20
+
+while [ $# -gt 0 ]; do
+    case "$1" in
+        --workflow) shift; workflow="${1:?--workflow attend un nom}" ;;
+        --limit) shift; limit="${1:?--limit attend un nombre}" ;;
+        *) err_t install.unknown_arg "$1"; exit 1 ;;
+    esac
+    shift
+done
+
+repo="${GH_REPO:-$(gh repo view --json nameWithOwner -q .nameWithOwner)}"
+
+if [ -n "$workflow" ]; then
+    step_t run.listing.workflow "$workflow"
+    gh run list --repo "$repo" --workflow "$workflow" --limit "$limit" \
+        --json databaseId,name,conclusion,createdAt,headBranch \
+        --template '{{range .}}{{.databaseId}}	{{.name}}	{{.conclusion}}	{{.createdAt}}	{{.headBranch}}{{"\n"}}{{end}}'
+else
+    step_t run.listing.all
+    gh run list --repo "$repo" --limit "$limit" \
+        --json databaseId,name,conclusion,createdAt,headBranch \
+        --template '{{range .}}{{.databaseId}}	{{.name}}	{{.conclusion}}	{{.createdAt}}	{{.headBranch}}{{"\n"}}{{end}}'
+fi