repowarden 4.7.0 → 4.7.2-next.6

package/README.md

@@ -27,29 +27,47 @@
 
 **Plus de 25 technologies** : Java (Maven, Gradle), JavaScript / TypeScript, Python, Go, Rust, PHP, Ruby, .NET, Dart / Flutter, Swift, Elixir, C / C++, Shell, Terraform, Packer, Ansible, Helm, Kubernetes, Docker, GitHub Actions — [détail](https://simdevwarden.github.io/repowarden/technologies/). Linux, macOS, Windows.
 
-## Ce que tu fais à la main
-
-Le reste est automatique. Pas à pas et pièges : [où cliquer](https://simdevwarden.github.io/repowarden/validation/#ou-cliquer).
-
-| Geste | Où |
-|---|---|
-| Valider un ticket | étiquette `validé` (d'office si un mainteneur l'ouvre) |
-| Écrire la conception, avant le code | commentaire contenant « Conception retenue » sur le ticket |
-| Terminer une PR | **Ready for review** : elle se merge seule quand la CI est verte |
-| Livrer en production (flux `develop`) | *Actions → release → Run workflow* (ou la demande du vendredi), puis **Review deployments → Approve and deploy** sur le run |
-| Livrer un correctif urgent | étiquette `urgent` (à créer si absente) sur la PR `fix/…` |
-| Relire une PR, si exigé | *Files changed → Review changes → Approve* |
+## Le cycle d'une modification
+
+De l'idée à la production, chaque changement suit le même chemin. Tu n'agis qu'aux étapes **en gras** ; le reste est automatique, et chaque étape est vérifiée par la CI.
+
+```mermaid
+flowchart LR
+    A[Ticket] -->|validé| B[Conception]
+    B --> C[Branche du ticket]
+    C -->|commits + push| D[PR brouillon]
+    D -->|Ready for review| E{CI verte ?}
+    E -->|oui| F[develop]
+    E -->|non| C
+    F -->|vendredi, ou à la main| G[Demande de livraison]
+    G -->|Approve and deploy| H[main : release]
+```
 
-Une PR `develop` → `main` ouverte à la main ne reçoit jamais d'approbation : lancer le workflow `release`, qui ouvre la sienne.
+| # | Étape | Qui | Ce qui se passe | Statut du ticket |
+|---|---|---|---|---|
+| 1 | Ouvrir un ticket (issue) | toi | rien ne se code sans ticket | à valider |
+| 2 | **Valider le ticket** | toi | étiquette `validé` (posée d'office si un mainteneur ouvre le ticket) | backlog |
+| 3 | **Écrire la conception** | toi | commentaire « Conception retenue » sur le ticket : ce qui change, fichiers touchés, hors périmètre. Sans elle, la vérification `ticket` de la PR échoue | backlog |
+| 4 | **Prendre le ticket** | toi | `repowarden ticket 12` : assigné, branche `fix/12-sujet` créée depuis `develop` | en cours |
+| 5 | Coder et committer | toi | `git cc` ; les hooks vérifient message, branche, secrets, formatage, puis les tests au push | en cours |
+| 6 | Premier push | auto | PR **brouillon** vers `develop` ouverte, titre et description tirés du ticket | en cours |
+| 7 | **Sortir du brouillon** | toi | bouton *Ready for review* (`gh pr ready`) | en relecture |
+| 8 | Vérifier et intégrer | auto | CI complète ; verte → **merge automatique** (squash) dans `develop`. Rouge → corriger et pousser, retour en 5 | préprod |
+| 9 | Préversion | auto | chaque soir si `develop` a changé : `vX.Y.Z-next.N` (paquet `repowarden@next`), pour tester avant la prod | préprod |
+| 10 | Demande de livraison | auto | le vendredi matin, ou à la main (*Actions → release → Run workflow*, ou étiquette `urgent` sur une PR `fix/…`) : instantané `livraison/vX.Y.Z` et sa PR vers `main` | préprod |
+| 11 | **Approuver la livraison** | toi | sur la page du run : **Review deployments → Approve and deploy** (pas « Approve » sur la PR, qui est une simple relecture) | préprod |
+| 12 | Publier | auto | la GitHub App merge vers `main` : tag `vX.Y.Z`, release, paquet npm, documentation | done, ticket fermé |
+
+Seul `develop` entre dans `main`, et jamais sans l'approbation de l'étape 11. Une PR `develop` → `main` ouverte à la main est fermée automatiquement, avec la marche à suivre. Pas à pas, commandes et pièges : [où cliquer](https://simdevwarden.github.io/repowarden/validation/#ou-cliquer).
 
 ## Démarrage
 
 ### 1. Sur ton poste, en une minute (tous tes dépôts)
 
 ```bash
-npm install -g repowarden     # 1. le paquet (yarn global add, pnpm add -g : idem)
-repowarden install --global           # 2. active les hooks : demande la langue, installe git cc
-repowarden                            # 3. vérifie : état du poste et étape suivante
+npm install -g repowarden      # 1. le paquet (yarn global add, pnpm add -g : idem)
+repowarden install --global    # 2. active les hooks : demande la langue, installe git cc
+repowarden                     # 3. vérifie : état du poste et étape suivante
 ```
 
 L'étape 2 est indispensable : par sécurité, le paquet n'exécute rien à l'installation (aucun script `postinstall`, que npm 12 bloque d'ailleurs). Ensuite, dans **n'importe quel dépôt**, les hooks s'appliquent dès le prochain commit. Rien n'est ajouté aux projets ni à leur `package.json`.
@@ -59,7 +77,7 @@ cd mon-projet
 git switch -c feat/panier            # nom de branche vérifié
 git add . && git cc                  # assistant : type, scope, description… puis commit
 git push -u origin feat/panier       # tests des projets touchés avant l'envoi
-repowarden code-mort                  # nouveau code mort de ta branche
+repowarden code-mort                 # nouveau code mort de ta branche
 ```
 
 | Action | Commande |
@@ -67,25 +85,17 @@ repowarden code-mort                  # nouveau code mort de ta branche
 | État du poste, étape suivante | `repowarden` (ou `repowarden statut`) |
 | Toutes les commandes | `repowarden --help` (`cc`, `code-mort`, `proteger`, `npm-publication`…) |
 | Mettre à jour | `npm update -g repowarden` (les hooks suivent) |
+| Tester la prochaine version | `npm install -g repowarden@next` (retour : `repowarden@latest`) ; en CI : `uses: simdevWarden/repowarden@develop` |
 | Désinstaller | `repowarden uninstall --global`, **puis** `npm uninstall -g repowarden` (dans cet ordre : npm n'exécute rien à la désinstallation, les hooks resteraient branchés sur un dossier supprimé) |
 
 Sans Node : `git clone https://github.com/simdevWarden/repowarden.git ~/repowarden && ~/repowarden/install.sh --global` (mise à jour : `git -C ~/repowarden pull`).
 
-### 4. GitHub App pour l'automatisation (merge auto, tickets, releases)
+**Nouvelle machine** : ces trois commandes suffisent. Les règles du dépôt, l'environnement de livraison, la GitHub App, ses secrets et la publication npm vivent sur GitHub et npm : rien à reconfigurer. La clé privée de l'App ne doit jamais se trouver sur un poste.
 
-Pour que les workflows déclenchent les autres workflows (merge auto, tickets, releases), il faut une GitHub App au lieu du `GITHUB_TOKEN` :
-
-```bash
-repowarden app init
-```
-
-1. Ouvre la page locale → clique "Create GitHub App" sur GitHub
-2. Clique "Install" sur ton repo/org
-3. Les secrets `REPOWARDEN_APP_CLIENT_ID` / `REPOWARDEN_APP_KEY` sont configurés automatiquement
-
-Sans cette étape, le `GITHUB_TOKEN` des Actions est utilisé : **ce qu'il fait ne déclenche pas les autres workflows** (merge auto, tickets, préversions).
-
-**Tester la prochaine version** (avant sa sortie en production) : `npm install -g repowarden@next`, ou `uses: simdevWarden/repowarden@develop` en CI. Retour à la version stable : `npm install -g repowarden@latest`. Les problèmes se signalent en [issue](https://github.com/simdevWarden/repowarden/issues).
+> [!NOTE]
+> **GitHub CLI (`gh`) : facultatif.**
+> Sans `gh` : tous les hooks (commits, branches, secrets, formatage, tests), `git cc`, `repowarden code-mort`, `repowarden statut`, et la CI (GitHub ou GitLab), qui n'utilise jamais le `gh` du poste.
+> Avec `gh` connecté (`gh auth login`), en plus : les tickets (`repowarden ticket`, `tickets`, branches de tes tickets créées en local) et la gestion du dépôt (`proteger`, `app init`, `npm-publication`, `pr-*`, `run-*`). Utile au mainteneur du dépôt GitHub ; chaque commande le signale s'il manque.
 
 ### 2. Dans un projet d'équipe : les mêmes règles pour tous
 
@@ -107,22 +117,44 @@ L'essentiel des deux fichiers :
 ```ini
 # .repowarden.conf : un poste en retard est prévenu, avec la commande de mise à jour
 [repowarden]
-    version = 3
+    version = 4
 ```
 
-Puis rendre la CI obligatoire pour merger : `repowarden proteger` (protection de `main`, check `repowarden` exigé).
+Puis rendre la CI obligatoire pour merger (`gh` connecté, admin du dépôt) :
+
+```bash
+repowarden proteger --checks "repowarden,tests"   # toutes les vérifications exigées, séparées par des virgules
+repowarden proteger --checks "repowarden,tests" --verifier   # plus tard : règles en ligne à jour ? (lecture seule)
+```
+
+Toujours passer **toutes** les vérifications à `--checks` : sans lui, seule `repowarden` reste exigée. Avec un flux `develop` → `main`, `proteger` crée aussi l'étiquette `urgent` et exige l'approbation de chaque livraison : utiliser le [modèle de release du flux develop](https://simdevwarden.github.io/repowarden/releases/), sinon `main` attendrait un déploiement que rien ne crée (`proteger` le signale).
 
 Exemple complet : [repowarden-demo](https://github.com/simdevWarden/repowarden-demo) · Releases automatiques : [documentation](https://simdevwarden.github.io/repowarden/releases/).
 
-### 3. Contribuer à repowarden
+### 3. GitHub App pour l'automatisation (merge auto, tickets, releases)
+
+Pour que les workflows déclenchent les autres workflows (merge auto, tickets, releases), il faut une GitHub App au lieu du `GITHUB_TOKEN` :
+
+```bash
+repowarden app init
+```
+
+1. Ouvre la page locale → clique « Create GitHub App » sur GitHub
+2. Clique « Install » sur ton dépôt ou ton organisation
+3. Les secrets `REPOWARDEN_APP_CLIENT_ID` / `REPOWARDEN_APP_KEY` sont configurés automatiquement
+
+Sans cette étape, le `GITHUB_TOKEN` des Actions est utilisé : **ce qu'il fait ne déclenche pas les autres workflows** (merge auto, tickets, préversions).
+
+### 4. Contribuer à repowarden
 
 ```bash
 git clone https://github.com/simdevWarden/repowarden.git && cd repowarden
 ./install.sh                         # repowarden se vérifie lui-même (hooks de ce dépôt)
-bats test/                           # tests (bats-core), aussi lancés au push
+brew install shellcheck bats-core actionlint gitleaks   # outils des vérifications (ou équivalent Linux)
+bats test/                           # tests, aussi lancés au push
 ```
 
-Les PR visent `develop` ; `main` ne reçoit que les livraisons, qui déclenchent les releases. Voir [CONTRIBUTING.md](CONTRIBUTING.md).
+Les PR visent `develop` ; `main` ne reçoit que les livraisons, qui déclenchent les releases. Tout part d'un ticket : voir [AGENTS.md](AGENTS.md) et [CONTRIBUTING.md](CONTRIBUTING.md). Les problèmes se signalent en [issue](https://github.com/simdevWarden/repowarden/issues).
 
 **Dans VS Code** : l'extension [repowarden-vscode](https://github.com/simdevWarden/repowarden-vscode) guide la rédaction des commits, signale une branche mal nommée et des hooks inactifs. En attendant sa publication sur le Marketplace : `.vsix` dans ses [releases](https://github.com/simdevWarden/repowarden-vscode/releases), puis `code --install-extension repowarden-X.Y.Z.vsix`.
 

package/bin/commit

@@ -6,7 +6,7 @@
 #                                      sans cela, la ligne suivante serait lue
 #                                      comme une nouvelle réponse)
 #   git cc -m "description" [--type T] [--scope S] [--breaking NOTE]
-#          [--body TEXTE] [--refs "Closes #12"]
+#          [--body TEXTE] [--refs "Ticket : #12"]
 #                                      sans question (scripts, agents) : mêmes
 #                                      contrôles, toute réponse refusée arrête
 #                                      tout ; type et scope déduits de la
@@ -173,14 +173,19 @@ while :; do
         type="$answer"
         break
     fi
-    t cc.type_invalid "$answer" "${#TYPES[@]}"
+    type_proche_r "$(printf '%s' "$answer" | tr '[:upper:]' '[:lower:]')"
+    if [ -n "$REPLY" ]; then
+        t cc.type_invalid_suggest "$answer" "$REPLY" "${#TYPES[@]}"
+    else
+        t cc.type_invalid "$answer" "${#TYPES[@]}"
+    fi
     refuse "$REPLY"
 done
 
 # 2. Scope (optionnel)
 t cc.step2
 etape 2 "$REPLY"
-t cc.scope_hint
+if [ -n "$default_scope" ]; then t cc.scope_hint_default "$default_scope"; else t cc.scope_hint; fi
 hint "$REPLY"
 while :; do
     if [ -n "$default_scope" ]; then
@@ -352,7 +357,8 @@ fi
 if [ -n "$ticket" ]; then
     t cc.refs_prompt_ticket "$ticket"
 else
-    t cc.refs_prompt "$FORGE_REFS"
+    cfg_r integrationBranch ""
+    if [ -n "$REPLY" ]; then t cc.refs_prompt "Ticket : #12"; else t cc.refs_prompt "$FORGE_REFS"; fi
 fi
 ANSWER="$OPT_REFS"
 ask "$REPLY"

package/bin/npm-publication

@@ -24,11 +24,13 @@ source "$ROOT/hooks/lib/common.sh"
 REPO=""
 WORKFLOW="release.yml"
 ENVIRONMENT=""
+DRY_RUN=false
 while [ $# -gt 0 ]; do
     case "$1" in
         --repo) shift; REPO="${1:?--repo attend propriétaire/nom}" ;;
         --workflow) shift; WORKFLOW="${1:?--workflow attend un fichier}" ;;
         --environnement | --environment) shift; ENVIRONMENT="${1:?--environnement attend un nom}" ;;
+        --dry-run) DRY_RUN=true ;;
         -h | --help) sed -n '2,17p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
         *) err_t install.unknown_arg "$1"; exit 1 ;;
     esac
@@ -50,6 +52,67 @@ name="$(node -p 'require("./package.json").name')"
 # les doublons, y compris celui d'une tentative interrompue) ; tous révoqués à la fin
 TOKEN_PREFIX="repowarden-ci-${REPO##*/}"
 
+# Vérifie si une relation de confiance correspond aux paramètres attendus.
+# Affiche l'écart si --dry-run ou pour confirmation.
+# Retourne : 0 = match, 1 = pas de relation, 2 = relation différente
+verifier_trust() {
+    local json attendu_repo="$REPO" attendu_file="$WORKFLOW" attendu_env="$ENVIRONMENT"
+    json="$(npm trust list "$name" --json 2>/dev/null || echo '[]')"
+    if [ "$json" = "[]" ] || [ -z "$json" ]; then
+        return 1
+    fi
+    local match=0 id repo file env allow_publish
+    while IFS=$'\t' read -r id repo file env allow_publish; do
+        [ -n "$id" ] || continue
+        if [ "$repo" = "$attendu_repo" ] && [ "$file" = "$attendu_file" ] && [ "$env" = "$attendu_env" ] && [ "$allow_publish" = "true" ]; then
+            match=1
+            break
+        fi
+    done < <(node -e "
+        const data = $json;
+        for (const t of data) {
+            const id = t.id || t.key;
+            const repo = t.repository || t.repo || '';
+            const file = t.file || t.workflow || '';
+            const env = t.environment || t.env || '';
+            const allowPublish = t.allowPublish === true || t['allow-publish'] === true;
+            console.log(id + '\t' + repo + '\t' + file + '\t' + env + '\t' + allowPublish);
+        }
+    ")
+    if [ "$match" = 1 ]; then
+        return 0
+    fi
+    return 2
+}
+
+# Affiche les détails d'une relation de confiance pour diagnostic
+afficher_trust() {
+    local json
+    json="$(npm trust list "$name" --json 2>/dev/null || echo '[]')"
+    if [ "$json" = "[]" ] || [ -z "$json" ]; then
+        echo "  (aucune relation de confiance)"
+        return
+    fi
+    node -e "
+        const data = $json;
+        for (const t of data) {
+            const id = t.id || t.key;
+            const repo = t.repository || t.repo || '(inconnu)';
+            const file = t.file || t.workflow || '(inconnu)';
+            const env = t.environment || t.env || '(aucun)';
+            const allowPublish = t.allowPublish === true || t['allow-publish'] === true;
+            const allowStagePublish = t.allowStagePublish === true || t['allow-stage-publish'] === true;
+            console.log('  ID: ' + id);
+            console.log('  Dépôt: ' + repo);
+            console.log('  Workflow: ' + file);
+            console.log('  Environnement: ' + env);
+            console.log('  npm publish: ' + (allowPublish ? 'oui' : 'non'));
+            console.log('  npm stage publish: ' + (allowStagePublish ? 'oui' : 'non'));
+            console.log('');
+        }
+    "
+}
+
 brand "npm · $name · $REPO"
 
 # 1. Connexion npm : entre toi et npm (navigateur ou mot de passe)
@@ -127,16 +190,82 @@ fi
 
 # 3. Publication de confiance, puis plus aucun jeton
 step_t npm.step_trust
-if grep -q '"id"' <<<"$(npm trust list "$name" --json 2>/dev/null || true)"; then
+verifier_trust
+cas=$?
+if [ "$cas" = 0 ]; then
     ok_t npm.trust_exists
+elif [ "$cas" = 1 ]; then
+    # Aucune relation : créer
+    if [ "$DRY_RUN" = true ]; then
+        info_t npm.trust_would_create "$REPO" "$WORKFLOW" "${ENVIRONMENT:-(aucun)}"
+    else
+        npm trust github "$name" --file "$WORKFLOW" --repo "$REPO" ${ENVIRONMENT:+--env "$ENVIRONMENT"} --allow-publish --yes
+        ok_t npm.trust_set "$REPO" "$WORKFLOW"
+    fi
 else
-    npm trust github "$name" --file "$WORKFLOW" --repo "$REPO" ${ENVIRONMENT:+--env "$ENVIRONMENT"} --allow-publish --yes
-    ok_t npm.trust_set "$REPO" "$WORKFLOW"
+    # Relation différente : afficher l'écart, demander confirmation, corriger sans perte
+    attention_t npm.trust_mismatch
+    afficher_trust
+    echo "  Attendu :"
+    echo "  Dépôt: $REPO"
+    echo "  Workflow: $WORKFLOW"
+    echo "  Environnement: ${ENVIRONMENT:-(aucun)}"
+    echo "  npm publish: oui"
+    echo ""
+    if [ "$DRY_RUN" = true ]; then
+        info_t npm.trust_would_fix
+    else
+        # Confirmation avant changement
+        if [ -t 0 ]; then
+            t npm.trust_confirm
+            read -r -p "  $REPLY" rep
+            echo
+            [[ "$rep" =~ ^[OoYy]$ ]] || { err_t npm.trust_cancelled; exit 1; }
+        fi
+        # Créer la nouvelle relation AVANT de révoquer l'ancienne (pas de perte)
+        npm trust github "$name" --file "$WORKFLOW" --repo "$REPO" ${ENVIRONMENT:+--env "$ENVIRONMENT"} --allow-publish --yes
+        ok_t npm.trust_set "$REPO" "$WORKFLOW"
+        # Révoquer l'ancienne relation
+        json="$(npm trust list "$name" --json 2>/dev/null || echo '[]')"
+        old_id="$(node -e "
+            const data = $json;
+            for (const t of data) {
+                const id = t.id || t.key;
+                const repo = t.repository || t.repo || '';
+                const file = t.file || t.workflow || '';
+                const env = t.environment || t.env || '';
+                const allowPublish = t.allowPublish === true || t['allow-publish'] === true;
+                if (repo !== '$REPO' || file !== '$WORKFLOW' || env !== '$ENVIRONMENT' || allowPublish !== true) {
+                    console.log(id);
+                }
+            }
+        ")"
+        for id in $old_id; do
+            [ -n "$id" ] && npm trust revoke "$name" --id "$id" --yes && ok_t npm.trust_revoked "$id"
+        done
+    fi
 fi
 gh variable set REPOWARDEN_NPM --repo "$REPO" --body true
 if grep -q '^NPM_TOKEN' <<<"$(gh secret list --repo "$REPO")"; then
-    gh secret delete NPM_TOKEN --repo "$REPO"
-    ok_t npm.token_removed
+    if [ "$cas" = 0 ] || [ "$cas" = 2 ]; then
+        # Relation de confiance OK (ou corrigée) : signaler le token et proposer suppression
+        attention_t npm.token_present
+        if [ "$DRY_RUN" = true ]; then
+            info_t npm.token_would_remove
+        elif [ -t 0 ]; then
+            t npm.token_remove_confirm
+            read -r -p "  $REPLY" rep
+            echo
+            [[ "$rep" =~ ^[OoYy]$ ]] && gh secret delete NPM_TOKEN --repo "$REPO" && ok_t npm.token_removed
+        else
+            gh secret delete NPM_TOKEN --repo "$REPO"
+            ok_t npm.token_removed
+        fi
+    else
+        # Pas de relation de confiance : supprimer silencieusement (comportement existant)
+        gh secret delete NPM_TOKEN --repo "$REPO"
+        ok_t npm.token_removed
+    fi
 fi
 # Jetons temporaires révoqués sur npm (retrouvés par leur préfixe). npm peut
 # demander un code 2FA : la commande garde le terminal (questions visibles)

package/bin/proteger

@@ -308,6 +308,60 @@ sig_attendue() {
         "$(sed -n 's/.*"require_last_push_approval": \([a-z]*\).*/\1/p' <<<"$r")" \
         "$(sed -n 's/.*"require_code_owner_review": \([a-z]*\).*/\1/p' <<<"$r")" "$deps" "$checks"
 }
+# Anciens rulesets : rulesets de branche du dépôt, sous un autre nom que ceux
+# de repowarden, qui exigent encore la vérification « repogarde » (retirée en
+# v4) ; posés à la main ou par une ancienne version. Laissés à côté, ils
+# bloqueraient les branches pour toujours. Une ligne par ruleset dans ANCIENS :
+# id, nom, branches couvertes (~DEFAULT_BRANCH résolu : la branche par défaut
+# change ensuite dans le flux develop), séparés par des tabulations.
+# shellcheck disable=SC2016 # expressions jq (gh --jq), pas du shell
+anciens_rulesets() {
+    local ids id ligne defaut=""
+    ANCIENS=""
+    ids="$(gh api "repos/$REPO/rulesets" --jq '.[] | select(.target == "branch"
+        and (.source_type // "Repository") == "Repository"
+        and (.name | test("^(repowarden|repogarde)( \\(.*\\))?$") | not)) | .id')" || return 0
+    for id in $ids; do
+        ligne="$(gh api "repos/$REPO/rulesets/$id" --jq 'select([.rules[]? | select(.type == "required_status_checks")
+            | .parameters.required_status_checks[].context] | index("repogarde"))
+            | "\(.id)\t\(.name)\t\(.conditions.ref_name.include | join(" "))"')" || continue
+        [ -n "$ligne" ] || continue
+        if [[ "$ligne" == *"~DEFAULT_BRANCH"* ]]; then
+            [ -n "$defaut" ] || defaut="$(gh api "repos/$REPO" --jq .default_branch)"
+            ligne="${ligne//\~DEFAULT_BRANCH/refs/heads/$defaut}"
+        fi
+        ANCIENS="$ANCIENS$ligne"$'\n'
+    done
+}
+
+# Ancien ruleset (ligne de ANCIENS) couvrant une des branches du ruleset $2 (JSON)
+couvre() {
+    local motifs m b
+    read -ra motifs <<<"$(cut -f3 <<<"$1")"
+    for m in ${motifs[@]+"${motifs[@]}"}; do
+        [ "$m" != "~ALL" ] || return 0
+        for b in $(grep -o '"refs/heads/[^"]*"' <<<"$2" | tr -d '"'); do
+            # shellcheck disable=SC2053 # motif de GitHub (refs/heads/release/*)
+            [[ "$b" != $m ]] || return 0
+        done
+    done
+    return 1
+}
+
+# Réponse d'erreur de GitHub (JSON) → « message : erreurs », lisible
+erreur_github() {
+    local message="" erreurs="" re_message='"message": *"([^"]*)"' re_erreurs='"errors": *\[([^]]*)\]'
+    [[ ! "$1" =~ $re_message ]] || message="${BASH_REMATCH[1]}"
+    [[ ! "$1" =~ $re_erreurs ]] || erreurs="${BASH_REMATCH[1]//\"/}"
+    if [ -n "$message" ]; then
+        REPLY="$message${erreurs:+ : $erreurs}"
+    else
+        REPLY="$(tr '\n' ' ' <<<"$1")"
+    fi
+}
+
+anciens_rulesets
+
 # shellcheck disable=SC2016 # expression jq (gh --jq), pas du shell
 SIG_EN_LIGNE='(.rules | map(select(.type == "pull_request"))[0].parameters) as $p
     | "approbations=\($p.required_approving_review_count) dernier_push=\($p.require_last_push_approval) codeowners=\($p.require_code_owner_review) deploiement=\([.rules[] | select(.type == "required_deployments") | .parameters.required_deployment_environments[]] | join(",")) verifications=\([.rules[] | select(.type == "required_status_checks") | .parameters.required_status_checks[].context] | sort | join(","))"'
@@ -335,6 +389,11 @@ if [ -n "$VERIFY" ]; then
             ecarts=$((ecarts + 1))
         fi
     done
+    while IFS=$'\t' read -r id name _; do
+        [ -n "$id" ] || continue
+        err_t ci.proteger.verify_legacy "$name" "$id"
+        ecarts=$((ecarts + 1))
+    done <<<"$ANCIENS"
     [ "$ecarts" = 0 ] || { err_t ci.proteger.verify_fix; exit 1; }
     ok_t ci.proteger.verify_ok
     exit 0
@@ -361,6 +420,7 @@ gh api -X PATCH "repos/$REPO" --silent "${settings[@]}"
 gh api -X PUT "repos/$REPO/actions/permissions/workflow" --silent \
     -f default_workflow_permissions=read -F can_approve_pull_request_reviews=true
 
+echecs=0
 for ruleset in "${rulesets[@]}"; do
     name="$(sed -n 's/^  "name": "\(.*\)",$/\1/p' <<<"$ruleset")"
     # Ruleset posé sous l'ancien nom (repogarde, v3) : repris et renommé, sinon
@@ -368,14 +428,45 @@ for ruleset in "${rulesets[@]}"; do
     old="${name/repowarden/repogarde}"
     id="$(gh api "repos/$REPO/rulesets" \
         --jq "([.[] | select(.name == \"$name\")] + [.[] | select(.name == \"$old\")]) | .[0].id // empty")"
+    # Sinon, un ancien ruleset sous un autre nom couvrant ses branches : repris
+    # (mis à jour en place, jamais un instant sans protection)
+    repris=""
+    if [ -z "$id" ] && grep -q '"target": "branch"' <<<"$ruleset"; then
+        while IFS= read -r ligne; do
+            { [ -n "$ligne" ] && couvre "$ligne" "$ruleset"; } || continue
+            id="${ligne%%$'\t'*}"
+            repris="$(cut -f2 <<<"$ligne")"
+            ANCIENS="$(grep -v "^$id"$'\t' <<<"$ANCIENS" || true)"
+            break
+        done <<<"$ANCIENS"
+    fi
     if [ -n "$id" ]; then
-        gh api -X PUT "repos/$REPO/rulesets/$id" --input - <<<"$ruleset" >/dev/null
-        ok_t ci.proteger.10 "$name"
+        methode=PUT chemin="repos/$REPO/rulesets/$id"
+    else
+        methode=POST chemin="repos/$REPO/rulesets"
+    fi
+    # Réponse gardée : en cas de refus, le détail de GitHub est affiché
+    if reponse="$(gh api -X "$methode" "$chemin" --input - <<<"$ruleset" 2>&1)"; then
+        if [ -n "$repris" ]; then
+            ok_t ci.proteger.legacy_taken "$name" "$repris"
+        elif [ -n "$id" ]; then
+            ok_t ci.proteger.10 "$name"
+        else
+            ok_t ci.proteger.11 "$name"
+        fi
     else
-        gh api -X POST "repos/$REPO/rulesets" --input - <<<"$ruleset" >/dev/null
-        ok_t ci.proteger.11 "$name"
+        erreur_github "$reponse"
+        err_t ci.proteger.api_error "$name" "$REPLY"
+        echecs=$((echecs + 1))
     fi
 done
+# Anciens rulesets non repris (plusieurs sur les mêmes branches) : jamais
+# supprimés ici, la marche à suivre est donnée
+while IFS=$'\t' read -r id name _; do
+    [ -n "$id" ] || continue
+    err_t ci.proteger.legacy_left "$name" "$id" "$REPO" "$id"
+    echecs=$((echecs + 1))
+done <<<"$ANCIENS"
 if [ -n "$env_json" ]; then
     gh api -X PUT "repos/$REPO/environments/$ENVIRONMENT" --input - --silent <<<"$env_json"
     policies="$(gh api "repos/$REPO/environments/$ENVIRONMENT/deployment-branch-policies" \
@@ -389,4 +480,5 @@ if [ -n "$env_json" ]; then
 fi
 [ -z "$urgent" ] || gh label create urgent -R "$REPO" --color B60205 \
     --description "Livraison immédiate après merge" >/dev/null
+[ "$echecs" = 0 ] || { err_t ci.proteger.incomplete; exit 1; }
 ok_t ci.proteger.13

package/hooks/commit-msg

@@ -39,6 +39,30 @@ if [[ "$SUBJECT" =~ ^(Merge|Revert|fixup!|squash!) ]]; then
     exit 0
 fi
 
+# En-tête tenté mais refusé : type inconnu (ou en majuscules), description vide
+if ! [[ "$SUBJECT" =~ $CC_PATTERN ]] &&
+    [[ "$SUBJECT" =~ ^([A-Za-z]+)(\([^\)]*\))?(!?):[[:space:]]*(.*)$ ]]; then
+    typ="${BASH_REMATCH[1]}" portee="${BASH_REMATCH[2]}" bang="${BASH_REMATCH[3]}" desc="${BASH_REMATCH[4]}"
+    typ_min="$(printf '%s' "$typ" | tr '[:upper:]' '[:lower:]')"
+    propose="$typ_min"
+    [[ "$typ_min" =~ ^($CC_TYPES)$ ]] || { type_proche_r "$typ_min"; propose="$REPLY"; }
+    if [ -z "$desc" ]; then
+        err_t hook.commit_msg.desc_empty "${propose:-$typ}$portee$bang:"
+        echo_t hook.commit_msg.kept >&2
+        exit 1
+    fi
+    if [ "$propose" != "$typ" ]; then
+        if [ -n "$propose" ]; then
+            err_t hook.commit_msg.type_unknown "$typ" "$propose$portee$bang: $desc"
+        else
+            err_t hook.commit_msg.type_none "$typ"
+            types_help
+        fi
+        echo_t hook.commit_msg.kept >&2
+        exit 1
+    fi
+fi
+
 if ! [[ "$SUBJECT" =~ $CC_PATTERN ]]; then
     if [ "${REPOWARDEN_LANG:-}" = en ]; then
         cat >&2 <<EOF
@@ -80,6 +104,15 @@ EOF
     exit 1
 fi
 
+# Point final retiré, comme dans git cc (pas des points de suspension) ; seule
+# la première ligne est réécrite, le corps reste intact
+if [[ "$SUBJECT" == *. && "$SUBJECT" != *.. ]]; then
+    SUBJECT="${SUBJECT%.}"
+    contenu="$(awk -v s="$SUBJECT" '!fait && !/^#/ { print s; fait = 1; next } { print }' "$MSG_FILE")"
+    printf '%s\n' "$contenu" >"$MSG_FILE"
+    info_t hook.commit_msg.dot >&2
+fi
+
 authored_length "$SUBJECT"
 if [ "$REPLY" -gt 72 ]; then
     err_t hook.commit_msg.1 "$REPLY" >&2

package/hooks/lib/common.sh

@@ -84,6 +84,23 @@ cfg() {
 CC_TYPES="feat|fix|docs|style|refactor|perf|test|build|ci|chore|revert"
 CC_PATTERN="^($CC_TYPES)(\([a-z0-9._-]+\))?!?: .+"
 
+# Type le plus proche d'un type inconnu : alias courants, puis préfixe commun
+# (doc → docs, feature → feat, Feat → feat) ; vide si aucun
+type_proche_r() {
+    local t="$1" c
+    case "$t" in
+        feature | features) REPLY="feat"; return ;;
+        doc | documentation) REPLY="docs"; return ;;
+        fixe | fixed | fixes | bugfix | hotfix) REPLY="fix"; return ;;
+        tests) REPLY="test"; return ;;
+        refacto | refactoring) REPLY="refactor"; return ;;
+    esac
+    REPLY=""
+    for c in ${CC_TYPES//|/ }; do
+        if [[ "$c" == "$t"* || "$t" == "$c"* ]]; then REPLY="$c"; return; fi
+    done
+}
+
 # REPLY = longueur de la première ligne écrite par l'auteur : le suffixe
 # « (#123) » ajouté par GitHub lors d'un merge squash n'est pas compté.
 authored_length() {

package/hooks/lib/i18n/en.sh

@@ -25,8 +25,10 @@ _msg_en() {
         cc.option_value) _M="Option %s expects a value." ;;
         cc.batch_message_required) _M="Without questions, the description is required: git cc -m \"<description>\" [--type T] [--scope S] [--body …] [--refs …] [--breaking …]." ;;
         cc.type_invalid) _M="\"%s\": pick a number (1 to %s) or a name from the list." ;;
+        cc.type_invalid_suggest) _M="\"%s\": unknown type. Did you mean \"%s\"? Number (1 to %s) or a name from the list." ;;
         cc.step2) _M="Scope (optional)" ;;
         cc.scope_hint) _M="Part of the project affected, e.g. api, auth, chart; Enter for none." ;;
+        cc.scope_hint_default) _M="Part of the project, e.g. api, auth, chart; Enter keeps \"%s\", \"-\" for none." ;;
         cc.scope_prompt_default) _M="Scope (\"-\" for none) [%s]: " ;;
         cc.scope_prompt) _M="Scope: " ;;
         cc.scope_fixed) _M="Scope: lowercase letters, digits, . _ - only. Suggested: %s (Enter to accept)." ;;
@@ -40,7 +42,7 @@ _msg_en() {
         cc.breaking_note_prompt) _M="What changes: " ;;
         cc.breaking_note_invalid) _M="Describe the change (at least 10 characters); otherwise answer no to the previous question." ;;
         cc.step4) _M="Description" ;;
-        cc.desc_hint) _M="Imperative mood, no initial capital or final period; %s characters max." ;;
+        cc.desc_hint) _M="Imperative mood, no final period, lowercase start except acronyms or proper nouns; %s characters max." ;;
         cc.desc_required) _M="The description is required." ;;
         cc.header_too_long) _M="Header too long: %s characters (72 max). Shorten the description." ;;
         cc.step5) _M="Details (optional)" ;;
@@ -48,7 +50,8 @@ _msg_en() {
         cc.refs_prompt_ticket) _M="References (\"-\" for none) [%s]: " ;;
         cc.refs_prompt) _M="References (e.g. %s; Enter for none): " ;;
         tk.cli.no_ticket) _M="Branch %s has no ticket: this work will not be linked to any ticket (not blocking)." ;;
-        tk.cli.propose) _M="Start it from a ticket: repowarden ticket nouveau \"<title>\" (or answer yes in git cc)." ;;
+        tk.cli.propose) _M="Start it from a ticket: repowarden ticket nouveau \"<title>\"." ;;
+        tk.cli.propose_cc) _M="Start it from a ticket: repowarden ticket nouveau \"<title>\" (or answer yes in git cc)." ;;
         tk.cli.silence) _M="Project without ticket tracking? git config repowarden.skip tickets to stop seeing this." ;;
         tk.cli.fetch) _M="Branch of ticket #%s…" ;;
         tk.cli.switched) _M="On branch %s (ticket #%s)." ;;
@@ -111,6 +114,11 @@ _msg_en() {
         hook.pre_commit.6) _M="gitleaks not installed, secret detection skipped (install: %s)." ;;
         hook.pre_commit.7) _M="Pre-commit OK" ;;
         hook.commit_msg.1) _M="First line too long (%s > 72 characters)." ;;
+        hook.commit_msg.type_unknown) _M="Unknown type \"%s\". Did you mean: %s" ;;
+        hook.commit_msg.type_none) _M="Unknown type \"%s\". Possible types:" ;;
+        hook.commit_msg.desc_empty) _M="Missing description after \"%s\": describe the change in the imperative mood." ;;
+        hook.commit_msg.kept) _M="  Your message is not lost: git commit -e -F .git/COMMIT_EDITMSG" ;;
+        hook.commit_msg.dot) _M="Final period removed from the description (same rule as git cc)." ;;
         hook.pre_push.1) _M="Push refused: branch name does not follow the convention." ;;
         hook.pre_push.2) _M="Direct push to '%s' refused: it only changes through pull requests." ;;
         hook.pre_push.3) _M="  Create a branch: git switch -c feat/my-feature, then open a PR." ;;
@@ -293,6 +301,11 @@ _msg_en() {
         ci.proteger.tags_none) _M="not protected (--sans-tags)" ;;
         ci.proteger.unknown_team) _M="Unknown or inaccessible team: %s (format @organisation/team)" ;;
         ci.proteger.unknown_user) _M="Unknown user: %s" ;;
+        ci.proteger.legacy_taken) _M="Ruleset \"%s\": old ruleset \"%s\" taken over (repogarde check removed)." ;;
+        ci.proteger.legacy_left) _M="Old ruleset \"%s\" (id %s): still requires the repogarde check, removed in v4, and blocks its branches. Delete it: Settings → Rules → Rulesets, or gh api -X DELETE repos/%s/rulesets/%s." ;;
+        ci.proteger.verify_legacy) _M="%s (id %s): old ruleset, still requires the repogarde check (removed in v4)" ;;
+        ci.proteger.api_error) _M="Ruleset \"%s\" rejected by GitHub: %s" ;;
+        ci.proteger.incomplete) _M="Incomplete protection: see the errors above." ;;
         ci.version.usage) _M="Usage: ci/version.sh next|notes [ref]" ;;
         ci.version.breaking) _M="Breaking changes" ;;
         ci.version.features) _M="Features" ;;
@@ -352,7 +365,16 @@ _msg_en() {
         npm.first_published) _M="%s@%s published by the pipeline." ;;
         npm.step_trust) _M="3/3 Tokenless publishing (trusted publishing)" ;;
         npm.trust_exists) _M="Trusted publishing already configured." ;;
+        npm.trust_mismatch) _M="Existing trust relationship does not match expected parameters:" ;;
+        npm.trust_confirm) _M="Confirm fix (new relationship created before revoking old)? [y/N] " ;;
+        npm.trust_cancelled) _M="Fix cancelled." ;;
+        npm.trust_would_create) _M="[dry-run] Trust relationship would be created: %s, workflow %s, env %s" ;;
+        npm.trust_would_fix) _M="[dry-run] Trust relationship would be fixed (new created, old revoked)" ;;
+        npm.trust_revoked) _M="Old trust relationship revoked: %s" ;;
         npm.trust_set) _M="Trusted publishing: %s, workflow %s." ;;
+        npm.token_present) _M="NPM_TOKEN secret still present while trusted publishing works." ;;
+        npm.token_remove_confirm) _M="Remove NPM_TOKEN secret? [y/N] " ;;
+        npm.token_would_remove) _M="[dry-run] NPM_TOKEN secret would be removed" ;;
         npm.token_removed) _M="NPM_TOKEN secret removed from the repository." ;;
         npm.token_revoked) _M="Temporary token revoked on npm." ;;
         npm.done) _M="Done: every release publishes %s to npm, without a token." ;;

package/hooks/lib/i18n/fr.sh

@@ -25,8 +25,10 @@ _msg_fr() {
         cc.option_value) _M="L'option %s attend une valeur." ;;
         cc.batch_message_required) _M="Sans question, la description est obligatoire : git cc -m \"<description>\" [--type T] [--scope S] [--body …] [--refs …] [--breaking …]." ;;
         cc.type_invalid) _M="« %s » : choisis un numéro (1 à %s) ou un nom de la liste." ;;
+        cc.type_invalid_suggest) _M="« %s » : type inconnu. Voulais-tu « %s » ? Numéro (1 à %s) ou nom de la liste." ;;
         cc.step2) _M="Scope (optionnel)" ;;
         cc.scope_hint) _M="Partie du projet concernée, ex. api, auth, chart ; Entrée pour aucun." ;;
+        cc.scope_hint_default) _M="Partie du projet concernée, ex. api, auth, chart ; Entrée garde « %s », « - » pour aucun." ;;
         cc.scope_prompt_default) _M="Scope (« - » pour aucun) [%s] : " ;;
         cc.scope_prompt) _M="Scope : " ;;
         cc.scope_fixed) _M="Scope : minuscules, chiffres, . _ - uniquement. Proposé : %s (Entrée pour l'accepter)." ;;
@@ -40,7 +42,7 @@ _msg_fr() {
         cc.breaking_note_prompt) _M="Ce qui change : " ;;
         cc.breaking_note_invalid) _M="Décris le changement (10 caractères au moins) ; sinon, réponds non à la question précédente." ;;
         cc.step4) _M="Description" ;;
-        cc.desc_hint) _M="À l'impératif, sans majuscule initiale ni point final ; %s caractères au plus." ;;
+        cc.desc_hint) _M="À l'impératif, sans point final, minuscule initiale sauf sigle ou nom propre ; %s caractères au plus." ;;
         cc.desc_required) _M="La description est obligatoire." ;;
         cc.header_too_long) _M="En-tête trop long : %s caractères (72 max). Raccourcis la description." ;;
         cc.step5) _M="Détails (optionnels)" ;;
@@ -48,7 +50,8 @@ _msg_fr() {
         cc.refs_prompt_ticket) _M="Références (« - » pour aucune) [%s] : " ;;
         cc.refs_prompt) _M="Références (ex. %s ; Entrée pour aucune) : " ;;
         tk.cli.no_ticket) _M="Branche %s sans ticket : ce travail ne sera relié à aucun ticket (non bloquant)." ;;
-        tk.cli.propose) _M="Le partir d'un ticket : repowarden ticket nouveau \"<titre>\" (ou réponds oui à git cc)." ;;
+        tk.cli.propose) _M="Partir d'un ticket : repowarden ticket nouveau \"<titre>\"." ;;
+        tk.cli.propose_cc) _M="Partir d'un ticket : repowarden ticket nouveau \"<titre>\" (ou réponds oui à git cc)." ;;
         tk.cli.silence) _M="Projet sans suivi de tickets ? git config repowarden.skip tickets pour ne plus le voir." ;;
         tk.cli.fetch) _M="Branche du ticket #%s…" ;;
         tk.cli.switched) _M="Sur la branche %s (ticket #%s)." ;;
@@ -109,6 +112,11 @@ _msg_fr() {
         hook.pre_commit.6) _M="gitleaks absent, détection de secrets ignorée (installation : %s)." ;;
         hook.pre_commit.7) _M="Pre-commit OK" ;;
         hook.commit_msg.1) _M="Première ligne trop longue (%s > 72 caractères)." ;;
+        hook.commit_msg.type_unknown) _M="Type « %s » inconnu. Voulais-tu : %s" ;;
+        hook.commit_msg.type_none) _M="Type « %s » inconnu. Types possibles :" ;;
+        hook.commit_msg.desc_empty) _M="Description manquante après « %s » : décris le changement à l'impératif." ;;
+        hook.commit_msg.kept) _M="  Ton message n'est pas perdu : git commit -e -F .git/COMMIT_EDITMSG" ;;
+        hook.commit_msg.dot) _M="Point final retiré de la description (même règle que git cc)." ;;
         hook.pre_push.1) _M="Push refusé : nom de branche non conforme." ;;
         hook.pre_push.2) _M="Push direct refusé sur '%s' : elle n'évolue que par Pull Request." ;;
         hook.pre_push.3) _M="  Crée une branche : git switch -c feat/ma-feature, puis ouvre une PR." ;;
@@ -293,6 +301,11 @@ _msg_fr() {
         ci.proteger.tags_none) _M="non protégés (--sans-tags)" ;;
         ci.proteger.unknown_team) _M="Équipe inconnue ou inaccessible : %s (format @organisation/equipe)" ;;
         ci.proteger.unknown_user) _M="Utilisateur inconnu : %s" ;;
+        ci.proteger.legacy_taken) _M="Ruleset « %s » : ancien ruleset « %s » repris (vérification repogarde retirée)." ;;
+        ci.proteger.legacy_left) _M="Ancien ruleset « %s » (id %s) : exige encore la vérification repogarde, retirée en v4, et bloque ses branches. Le supprimer : Settings → Rules → Rulesets, ou gh api -X DELETE repos/%s/rulesets/%s." ;;
+        ci.proteger.verify_legacy) _M="%s (id %s) : ancien ruleset, exige encore la vérification repogarde (retirée en v4)" ;;
+        ci.proteger.api_error) _M="Ruleset « %s » refusé par GitHub : %s" ;;
+        ci.proteger.incomplete) _M="Protection incomplète : voir les erreurs ci-dessus." ;;
         ci.version.usage) _M="Usage : ci/version.sh next|notes [ref]" ;;
         ci.version.breaking) _M="Changements incompatibles" ;;
         ci.version.features) _M="Fonctionnalités" ;;
@@ -352,7 +365,16 @@ _msg_fr() {
         npm.first_published) _M="%s@%s publié par la pipeline." ;;
         npm.step_trust) _M="3/3 Publication sans jeton (publication de confiance)" ;;
         npm.trust_exists) _M="Publication de confiance déjà configurée." ;;
+        npm.trust_mismatch) _M="Relation de confiance existante mais ne correspond pas aux paramètres attendus :" ;;
+        npm.trust_confirm) _M="Confirmer la correction (nouvelle relation créée avant révocation de l'ancienne) ? [o/N] " ;;
+        npm.trust_cancelled) _M="Correction annulée." ;;
+        npm.trust_would_create) _M="[dry-run] Relation de confiance serait créée : %s, workflow %s, env %s" ;;
+        npm.trust_would_fix) _M="[dry-run] Relation de confiance serait corrigée (nouvelle créée, ancienne révoquée)" ;;
+        npm.trust_revoked) _M="Ancienne relation de confiance révoquée : %s" ;;
         npm.trust_set) _M="Publication de confiance : %s, workflow %s." ;;
+        npm.token_present) _M="Secret NPM_TOKEN encore présent alors que la publication de confiance fonctionne." ;;
+        npm.token_remove_confirm) _M="Supprimer le secret NPM_TOKEN ? [o/N] " ;;
+        npm.token_would_remove) _M="[dry-run] Secret NPM_TOKEN serait supprimé" ;;
         npm.token_removed) _M="Secret NPM_TOKEN supprimé du dépôt." ;;
         npm.token_revoked) _M="Jeton temporaire révoqué sur npm." ;;
         npm.done) _M="Terminé : chaque release publie %s sur npm, sans jeton." ;;

package/hooks/lib/tickets.sh

@@ -168,7 +168,8 @@ ticket_hint() {
     [ -z "$REPLY" ] || return 0
     attention_t tk.cli.no_ticket "$branch"
     if tickets_managed && has gh; then
-        dim_t tk.cli.propose
+        # git cc ne propose de créer le ticket qu'avec ticketAutoCreate
+        if ticket_auto_create; then dim_t tk.cli.propose_cc; else dim_t tk.cli.propose; fi
     else
         dim_t tk.cli.silence
     fi

package/hooks/lib/ui.sh

@@ -31,7 +31,27 @@ repowarden_version_r() {
     local tag=""
     REPLY="$(sed -n 's/^  "version": *"\([^"]*\)".*/\1/p' "$1/package.json" 2>/dev/null | sed -n 1p)"
     if [ -e "$1/.git" ]; then
-        tag="$(git -C "$1" describe --tags --abbrev=0 --match 'v[0-9]*' 2>/dev/null || true)"
+        # Sous-shell sans les variables que git exporte aux hooks (worktree) :
+        # elles l'emportent sur -C, ce seraient les tags du projet. Tag le plus
+        # proche de HEAD (git describe), remplacé par un tag de release dont le
+        # commit mergé est au moins aussi proche : la release est taguée sur le
+        # merge de la livraison dans main, invisible depuis develop pour
+        # describe ; à égalité, la version stable l'emporte sur la préversion
+        tag="$(
+            unset GIT_DIR GIT_WORK_TREE GIT_INDEX_FILE GIT_COMMON_DIR
+            best="$(git -C "$1" describe --tags --abbrev=0 --match 'v[0-9]*' 2>/dev/null || true)"
+            dist=""
+            [ -z "$best" ] || dist="$(git -C "$1" rev-list --count "$best..HEAD")"
+            while IFS= read -r t; do
+                git -C "$1" merge-base --is-ancestor "$t^2" HEAD 2>/dev/null || continue
+                d="$(git -C "$1" rev-list --count "$t^2..HEAD")"
+                if [ -z "$best" ] || [ "$d" -lt "$dist" ] ||
+                    { [ "$d" -eq "$dist" ] && [[ "$t" != *-* && "$best" == *-* ]]; }; then
+                    best="$t" dist="$d"
+                fi
+            done < <(git -C "$1" tag --no-merged HEAD --list 'v[0-9]*' 2>/dev/null)
+            echo "$best"
+        )"
         [ -z "$tag" ] || REPLY="${tag#v}"
     fi
 }

package/hooks/prepare-commit-msg

@@ -2,7 +2,7 @@
 # Hook prepare-commit-msg : déduit le préfixe Conventional Commits du nom de branche.
 #   branche feat/bean :  git commit            → éditeur prérempli avec "feat(bean): "
 #                        git commit -m "ajoute X" → "feat(bean): ajoute X"
-# Un message déjà conforme n'est pas modifié.
+# Un message déjà conforme, ou qui a la forme d'un en-tête, n'est pas modifié.
 set -euo pipefail
 
 source "$(dirname "$0")/lib/common.sh"
@@ -36,6 +36,9 @@ fi
 
 SUBJECT="$(grep -v '^#' "$MSG_FILE" | sed -n 1p || true)"
 [[ "$SUBJECT" =~ $CC_PATTERN ]] && exit 0
+# En-tête déjà tenté (mot: ou mot(portée):), même raté : jamais enveloppé,
+# commit-msg le juge (« doc: x » deviendrait « feat(y): doc: x », accepté)
+[[ "$SUBJECT" =~ ^[A-Za-z]+(\([^\)]*\))?!?: ]] && exit 0
 [[ "$SUBJECT" =~ ^(Merge|Revert|fixup!|squash!) ]] && exit 0
 
 # Ajoute le préfixe en tête de la première ligne (vide ou non)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.7.0",
+  "version": "4.7.2-next.6",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",