repowarden 4.8.3 → 4.9.0-next.10

package/bin/proteger

@@ -7,7 +7,9 @@
 #   - tags v* : créés, déplacés ou supprimés uniquement par les workflows ;
 #   - GitHub Actions autorisé à créer des PR (releases automatiques) ;
 #   - validation humaine (optionnelle) : approbations obligatoires, revue des
-#     CODEOWNERS, environnement de déploiement approuvé par des personnes.
+#     CODEOWNERS, environnement de déploiement approuvé par des personnes ;
+#     livraison approuvée (deliveryApproval deployment ou review, défaut) ou
+#     automatique (auto : vérifications exigées gardées).
 #
 #   bin/proteger [--repo propriétaire/nom] [--checks "repowarden,tests (ubuntu-latest)"] [--relecteurs N]
 #                [--codeowners] [--environnement NOM] [--approbateurs "login …"]
@@ -54,7 +56,7 @@ while [ $# -gt 0 ]; do
         --sans-tags) NO_TAGS=1 ;;
         --dry-run) DRY_RUN=1 ;;
         --verifier) VERIFY=1 ;;
-        -h | --help) sed -n '2,18p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
+        -h | --help) sed -n '2,19p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
         *) err_t install.unknown_arg "$1"; exit 1 ;;
     esac
     shift
@@ -84,6 +86,16 @@ for b in $protected; do
     [ "$(gh api "repos/$REPO/branches/$b" --jq .name 2>/dev/null)" = "$b" ] && existing="$existing $b"
 done
 [ -n "$existing" ] || { err_t ci.proteger.no_branch "$protected" "$REPO"; exit 1; }
+# Branche d'intégration absente : arrêt avant toute modification (GitHub
+# refuserait une branche par défaut inexistante, réglages posés à moitié)
+if [ -n "$integration" ] &&
+    [ "$(gh api "repos/$REPO/branches/$integration" --jq .name 2>/dev/null)" != "$integration" ]; then
+    principale=main
+    for b in $existing; do [ "$b" = "$integration" ] || { principale="$b"; break; }; done
+    err_t ci.proteger.no_integration "$integration" "$REPO"
+    dim_t ci.proteger.no_integration_hint "$principale" "$integration"
+    exit 1
+fi
 
 # Vérifications séparées par des virgules : un nom de job peut contenir des
 # espaces (« tests (ubuntu-latest) »)
@@ -179,14 +191,21 @@ if [ -n "$integration" ]; then
     # l'approbation de l'environnement de livraison (« Approve and deploy »),
     # exigée par une règle de main (déploiement réussi) ; la revue de PR n'est
     # plus nécessaire (relectures configurées : gardées). review : revue de PR.
+    # auto : choix du projet, la validation humaine est le merge de chaque
+    # ticket ; la GitHub App arme le merge de la livraison (release-auto,
+    # delivery-auto), qui part quand les vérifications exigées sont vertes.
+    # Ni règle de déploiement ni environnement créé d'office ; vérifications
+    # et relectures configurées gardées.
     cfg_r deliveryApproval deployment
     DELIVERY="$REPLY"
-    [[ "$DELIVERY" =~ ^(deployment|review)$ ]] || { err_t ci.proteger.delivery_invalid; exit 1; }
+    [[ "$DELIVERY" =~ ^(deployment|review|auto)$ ]] || { err_t ci.proteger.delivery_invalid; exit 1; }
     deploiement=""
     if [ "$DELIVERY" = deployment ]; then
         ENVIRONMENT="${ENVIRONMENT:-production}"
         livraison="$REVIEWS"
         deploiement="{\"type\": \"required_deployments\", \"parameters\": {\"required_deployment_environments\": [\"$ENVIRONMENT\"]}}"
+    elif [ "$DELIVERY" = auto ]; then
+        livraison="$REVIEWS"
     fi
     # PR à jour non exigée non plus : le merge commit d'une livraison n'existe
     # que sur main ; strict, la livraison suivante serait bloquée tant que
@@ -218,6 +237,11 @@ if [ -n "$integration" ]; then
     cfg_r autoMergeWork true
     auto_merge="$REPLY"
     [[ "$auto_merge" =~ ^(true|false)$ ]] || { err_t ci.proteger.automerge_invalid; exit 1; }
+    # Livraison automatique : merge automatique du dépôt indispensable
+    if [ "$DELIVERY" = auto ] && [ "$auto_merge" = false ]; then
+        err_t ci.proteger.auto_needs_automerge
+        exit 1
+    fi
     # Sans ce workflow, les branches mergées ne seraient plus supprimées
     if ! grep -qs "nettoyage-branches.yml" "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; then
         attention_t ci.proteger.no_cleanup
@@ -228,6 +252,11 @@ if [ -n "$integration" ]; then
         ! grep -qs "delivery-environment:" "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; then
         attention_t ci.proteger.no_delivery_env "$ENVIRONMENT"
     fi
+    # Livraison automatique que rien n'arme : la PR se mergera à la main
+    if [ "$DELIVERY" = auto ] &&
+        ! grep -qsE "^[[:space:]]*delivery-auto:[[:space:]]*true" "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; then
+        attention_t ci.proteger.no_delivery_auto
+    fi
     # Demande de livraison (manuelle, planifiée) qui ne remplace pas celle en
     # attente : une demande oubliée bloquerait en silence les suivantes
     for wf in "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; do
@@ -266,6 +295,8 @@ echo_t ci.proteger.3 "$CHECKS"
 echo_t ci.proteger.4 "$methods" "$delete_on_merge"
 if [ -n "$integration" ] && [ "$DELIVERY" = deployment ]; then
     echo_t ci.proteger.delivery_deploy "$ENVIRONMENT" "$auto_merge"
+elif [ -n "$integration" ] && [ "$DELIVERY" = auto ]; then
+    echo_t ci.proteger.delivery_auto "$livraison"
 elif [ -n "$integration" ]; then
     echo_t ci.proteger.delivery "$livraison" "$auto_merge"
 fi

package/bin/tickets

@@ -12,7 +12,8 @@
 #     mainteneur → backlog, sinon à valider ; --sans-validation-auto : tous à
 #     valider) ; branches des PR ouvertes et mergées inscrites sur leurs tickets.
 # Ensuite : committer ces fichiers, exiger la vérification « ticket »
-# (repowarden proteger --checks "…,ticket") et brancher le job tickets de release.yml.
+# (repowarden proteger --checks "…,ticket") et, s'il n'y est pas, brancher le
+# job tickets de release.yml (repowarden bots l'y écrit).
 set -euo pipefail
 
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
@@ -41,7 +42,7 @@ if [ "$commande" = sync ]; then
     exit 0
 fi
 if [ "$commande" != init ]; then
-    sed -n '2,15p' "$0" | sed 's/^# \{0,1\}//'
+    sed -n '2,16p' "$0" | sed 's/^# \{0,1\}//'
     [ "$commande" = "" ] || [ "$commande" = -h ] || [ "$commande" = --help ]
     exit
 fi
@@ -149,4 +150,9 @@ esac
 
 echo
 ok_t tk.init_done
-dim_t tk.init_next
+# Job tickets de release.yml déjà branché (modèle de repowarden bots) : rien à ajouter
+if grep -qs 'workflows/tickets\.yml@' .github/workflows/release.yml; then
+    dim_t tk.init_next_wired
+else
+    dim_t tk.init_next
+fi

package/ci/tickets/issue.sh

@@ -31,27 +31,56 @@ accepter() {
         -q '.[] | [.number, .headRefName, .headRefOid, .baseRefName, .isDraft] | @tsv')
 }
 
+# Ticket ouvert par un mainteneur (droits d'écriture) : c'est déjà sa
+# décision, validé d'office. Vérifié par tout événement du ticket (idempotent) :
+# GitHub ne garde qu'un run en attente par groupe de concurrence, le run
+# « opened » peut être annulé par ceux des étiquettes posées à la création.
+# Non si déjà validé, ou (hors ouverture) rangé au-delà de « à valider »
+# (« validé » retiré à la main : décision respectée). Test seul : appelé dans un « if », où set -e
+# ne s'applique pas.
+a_valider_d_office() {
+    local labels l
+    [ "${AUTO_VALIDATE:-maintainers}" = maintainers ] || return 1
+    est_mainteneur "${ISSUE_ASSOCIATION:-}" || return 1
+    [ "${ISSUE_STATE:-open}" = open ] || return 1
+    labels="$(etiquettes "$ISSUE")"
+    ! grep -qxF "$VALIDE" <<<"$labels" || return 1
+    [ "$ACTION" != opened ] || return 0
+    while IFS= read -r l; do
+        [[ "$l" == "statut: "* && "$l" != "$S_AVALIDER" ]] && return 1
+    done <<<"$labels"
+    return 0
+}
+
+valider_d_office() {
+    gh issue edit "$ISSUE" --add-label "$VALIDE" >/dev/null
+    statut "$ISSUE" "$S_AVALIDER"
+    accepter "$ISSUE"
+}
+
 cmd_issue() {
     local pr sha head body
     case "$ACTION" in
         opened)
             est_valide "$ISSUE" && return 0
-            # Ouvert par un mainteneur (droits d'écriture) : c'est déjà sa
-            # décision, validé d'office ; sinon, un mainteneur pose « validé »
-            if [ "${AUTO_VALIDATE:-maintainers}" = maintainers ] &&
-                est_mainteneur "${ISSUE_ASSOCIATION:-}"; then
-                gh issue edit "$ISSUE" --add-label "$VALIDE" >/dev/null
-                statut "$ISSUE" "$S_AVALIDER"
-                accepter "$ISSUE"
+            # Validé d'office, sinon un mainteneur pose « validé »
+            if a_valider_d_office; then
+                valider_d_office
             else
                 statut "$ISSUE" "$S_AVALIDER"
             fi
             ;;
         labeled)
-            [ "${LABEL:-}" = "$VALIDE" ] || return 0
-            accepter "$ISSUE"
+            if [ "${LABEL:-}" = "$VALIDE" ]; then
+                accepter "$ISSUE"
+            elif a_valider_d_office; then
+                valider_d_office
+            fi
             ;;
         assigned)
+            if a_valider_d_office; then
+                valider_d_office
+            fi
             # Pris en charge : sa branche (s'il est validé), en cours s'il est
             # validé ET assigné (quelle que soit la présence du label backlog,
             # pour gérer la race validation+assignation quasi simultanée).

package/ci/tickets/push.sh

@@ -34,11 +34,32 @@ commit_impact_r() {
     REPLY="$meilleur"
 }
 
-# REPLY = titre de la PR brouillon du ticket $1 (branche $2) : « type(portée):
-# sujet » depuis le ticket, sinon le commit conforme de plus fort impact de la
-# branche, sinon le titre déduit de la branche
+# REPLY = en-tête du premier commit de la branche $1 par rapport à la branche
+# d'intégration, sans « (#N) » final ; vide s'il n'est pas utilisable (aucun
+# commit, non conforme, plus de 72 caractères). Lu par l'API : le checkout du
+# workflow est celui de repowarden, pas l'historique du projet.
+premier_commit_r() {
+    local s
+    s="$(gh api "repos/$GH_REPO/compare/$INTEGRATION...$1" \
+        -q '.commits[0].commit.message // "" | split("\n")[0] // ""' 2>/dev/null || true)"
+    s="${s%%$'\n'*}"
+    s="${s%$'\r'}"
+    [[ "$s" =~ ^(.*[^[:space:]])[[:space:]]+\(#[0-9]+\)$ ]] && s="${BASH_REMATCH[1]}"
+    REPLY=""
+    [[ "$s" =~ $CC_PATTERN ]] || return 0
+    authored_length "$s"
+    [ "$REPLY" -le 72 ] || { REPLY=""; return 0; }
+    REPLY="$s"
+}
+
+# REPLY = titre de la PR brouillon du ticket $1 (branche $2) : en-tête du
+# premier commit de la branche (déjà validé par les hooks, il devient le commit
+# de squash), sinon « type(portée): sujet » depuis le ticket, sinon le commit
+# conforme de plus fort impact, sinon le titre déduit de la branche
 titre_pr_brouillon_r() {
     local n="$1" branche="$2" type
+    premier_commit_r "$branche"
+    [ -z "$REPLY" ] || return 0
     ticket_type_r "$(etiquettes "$n")"
     type="$REPLY"
     ticket_pr_title_r "$type" "$(gh issue view "$n" --json title -q .title)"
@@ -82,7 +103,8 @@ description_pr_brouillon_r() {
 }
 
 # Premier push sur la branche d'un ticket : PR brouillon vers la branche
-# d'intégration, au titre et à la description repris du ticket, citant le
+# d'intégration, titrée par le premier commit (repli : le ticket), à la
+# description reprise du ticket, citant le
 # ticket, assignée à l'auteur du push ; ticket en cours. Ouverte par le jeton
 # des Actions, elle ne lance pas la CI : elle tourne au push suivant, ou au
 # passage « prête pour revue ». Tant qu'elle est en brouillon, chaque push met

package/hooks/lib/i18n/en.sh

@@ -284,10 +284,15 @@ _msg_en() {
         ci.proteger.reviews_invalid) _M="--relecteurs: a number from 0 to 9 is expected." ;;
         ci.proteger.codeowners_invalid) _M="codeOwnerReview: true or false." ;;
         ci.proteger.delivery_deploy) _M="  delivery into main: approval of the \"%s\" deployment (Approve and deploy), then merged by the GitHub App; auto-merge of work PRs into develop: %s" ;;
-        ci.proteger.delivery_invalid) _M="deliveryApproval: deployment or review." ;;
+        ci.proteger.delivery_invalid) _M="deliveryApproval: deployment, review or auto." ;;
+        ci.proteger.auto_needs_automerge) _M="deliveryApproval = auto needs the repository's auto-merge: remove autoMergeWork = false from .repowarden.conf, or choose deliveryApproval = deployment or review." ;;
+        ci.proteger.no_delivery_auto) _M="deliveryApproval = auto, but no workflow calls release-auto.yml with delivery-auto: true: nothing will arm the delivery merge, which will be done by hand (see docs/releases.md, automatic delivery)." ;;
+        ci.proteger.delivery_auto) _M="  delivery into main: automatic (the GitHub App merges it as soon as the required checks are green; %s approval(s) required)" ;;
         ci.proteger.automerge_invalid) _M="autoMergeWork: true or false." ;;
         ci.proteger.unattributed_invalid) _M="unattributedApproval: true or false." ;;
         ci.proteger.no_branch) _M="None of the branches \"%s\" exists on %s." ;;
+        ci.proteger.no_integration) _M="Integration branch \"%s\" missing on %s: nothing was changed." ;;
+        ci.proteger.no_integration_hint) _M="  Create it from the main branch: git push origin %s:refs/heads/%s (or repowarden bots), then run again." ;;
         ci.proteger.no_cleanup) _M="Automatic branch deletion disabled (it would delete develop): add a workflow calling nettoyage-branches.yml, otherwise merged branches remain (see In an organisation)." ;;
         ci.proteger.no_delivery_env) _M="main will require a successful \"%s\" deployment, but no workflow creates that deployment: a deployment nothing creates would block main forever. Call release-auto.yml with delivery-environment (see docs/releases.md, develop flow), or set deliveryApproval = review in .repowarden.conf." ;;
         ci.proteger.stale_concurrency) _M="%s: a pending delivery request (manual or scheduled) would silently block the next ones. Set cancel-in-progress: \${{ github.event_name != 'push' }} (a new request replaces the pending one) and one group per trigger: release-\${{ github.ref_name }}-\${{ github.event.schedule || github.event_name }}." ;;
@@ -391,19 +396,14 @@ _msg_en() {
         npm.old_npm) _M="npm %s is too old: 11.15 or later required (npm install -g npm@11)." ;;
         npm.step_login) _M="1/3 npm account" ;;
         npm.logged) _M="Logged in to npm: %s" ;;
-        npm.no_2fa) _M="Two-factor authentication (2FA) is not enabled on the npm account: npm requires it to create the token and configure tokenless publishing." ;;
+        npm.no_2fa) _M="Two-factor authentication (2FA) is not enabled on the npm account: npm requires it to configure tokenless publishing." ;;
         npm.hint_2fa) _M="Enable it: npm profile enable-2fa auth-and-writes (QR code for an authenticator app), or https://www.npmjs.com/settings/%s/tfa; then run this command again." ;;
-        npm.step_token) _M="2/3 First publication, by the pipeline (temporary token)" ;;
-        npm.token_exists) _M="NPM_TOKEN secret already present: reused." ;;
-        npm.ask_password) _M="npm password (hidden input, sent to npm only): " ;;
-        npm.ask_otp) _M="One-time code (authenticator app or npm email): " ;;
-        npm.token_failed) _M="Could not create the npm token (see above): nothing was stored." ;;
-        npm.token_stored) _M="Temporary token (7 days) created and stored as the NPM_TOKEN secret, never displayed." ;;
-        npm.dispatched) _M="Pipeline started (%s): it publishes the latest release to npm. Waiting… (Ctrl+C: run the command again later, it resumes)" ;;
-        npm.waiting) _M="The next release publishes %s: merge a PR (or let the bot merge the release PR). Waiting… (Ctrl+C: run the command again later, it resumes)" ;;
-        npm.still_waiting) _M="still waiting (%s min)…" ;;
-        npm.not_yet) _M="Not published yet: run this command again after the next release." ;;
-        npm.first_published) _M="%s@%s published by the pipeline." ;;
+        npm.step_first) _M="2/3 First publication, from this machine (latest release)" ;;
+        npm.no_release) _M="No release yet: nothing is published. Run this command again after the first release of %s." ;;
+        npm.would_publish) _M="[dry-run] %s@%s would be published from release %s (npm publish, in this terminal)" ;;
+        npm.publishing) _M="Publishing %s@%s (release %s): npm may ask for a validation (browser or code)." ;;
+        npm.publish_failed) _M="Publication of %s refused (see above): nothing else was configured. Run this command again." ;;
+        npm.first_published) _M="%s@%s published." ;;
         npm.step_trust) _M="3/3 Tokenless publishing (trusted publishing)" ;;
         npm.trust_exists) _M="Trusted publishing already configured." ;;
         npm.trust_mismatch) _M="Existing trust relationship does not match expected parameters:" ;;
@@ -461,11 +461,18 @@ _msg_en() {
         app.server_failed) _M="Local page did not start." ;;
         app.open) _M="Open %s then click GitHub's green button." ;;
         app.no_code) _M="No answer from GitHub (creation cancelled, or 15 min timeout)." ;;
+        app.container) _M="Container detected: the local creation page (127.0.0.1) would not be reachable from the host's browser. Nothing was created." ;;
+        app.howto) _M="Run the command on the host: %s (or here with REPOWARDEN_CONTENEUR=0 if your browser reaches this container's 127.0.0.1: host network, forwarded port)." ;;
+        app.page_timeout) _M="Local page not visited within %s s: stopped, nothing was created." ;;
+        app.orphan) _M="If you clicked \"Create\", the App exists without retrieved credentials: delete it (GitHub settings → Developer settings → GitHub Apps) before running again." ;;
         app.created) _M="App %s created; credentials stored (variable %s, secret %s)." ;;
         app.step_install) _M="Installing on the repository" ;;
         app.installed) _M="App %s installed on %s." ;;
         app.not_installed) _M="App %s not installed on %s yet: run repowarden app init again once installed." ;;
-        app.check_in_ci) _M="Installation checked by the first ticket tracking run (\"Jeton de l'App\" step); to install it: %s" ;;
+        app.not_verified) _M="Installation of App %s on %s not verified: the private key is not on this machine (only the App can list its installations). If it is not installed, workflows will fail at the \"Jeton de l'App\" step. To install it: %s" ;;
+        app.name_taken) _M="A GitHub App named %s already exists (often an orphan App from an interrupted attempt: created on GitHub, credentials never stored)." ;;
+        app.name_taken_fix) _M="Either run again with --nom <other name>, or delete the orphan App (Settings → Developer settings → GitHub Apps → the App → Advanced → Delete): %s" ;;
+        app.name_hint) _M="If GitHub refuses the name %s (already taken): Ctrl+C, then run again with --nom <other name>, or delete the orphan App: %s" ;;
         app.done) _M="repowarden workflows now use the App: what they do triggers the other workflows." ;;
         app.next) _M="Without the App (variable and secret missing), they fall back to the Actions token." ;;
         app.bot_all_repos) _M="Organization bot: when installing, choose \"All repositories\" (new repositories are covered automatically; only those with a .repowarden.conf are managed)." ;;
@@ -524,12 +531,27 @@ _msg_en() {
         bots.ask_app) _M="GitHub App?" ;;
         bots.ask_proteger) _M="Branch protection?" ;;
         bots.ask_npm) _M="npm publishing?" ;;
+        bots.desc_delivery) _M="develop → main delivery: automatic (the GitHub App merges the delivery PR as soon as the checks are green; human validation is the merge of each ticket) or human approval (default)" ;;
+        bots.ask_delivery_auto) _M="Automatic delivery? (no: human approval)" ;;
+        bots.auto_no_app) _M="Automatic delivery without a GitHub App: the automatic merge requires the App (repowarden app init); without it, the delivery PR has to be merged by hand." ;;
+        bots.desc_rythme) _M="Pace: on every ticket (prerelease and delivery request on every merge) or grouped (default: evening prerelease, Friday delivery window)" ;;
+        bots.ask_each_ticket) _M="On every ticket? (no: grouped)" ;;
+        bots.ask_preversion) _M="Prerelease required before a stable version?" ;;
         bots.preview) _M="Preview" ;;
         bots.prev_develop) _M="branch %s created on GitHub from %s" ;;
         bots.prev_conf) _M=".repowarden.conf: integrationBranch = %s, protected branches" ;;
         bots.prev_review) _M=".repowarden.conf: delivery approved by reviewing its PR (no GitHub App)" ;;
+        bots.prev_conf_auto) _M=".repowarden.conf: deliveryApproval = auto (automatic delivery)" ;;
+        bots.prev_delivery_auto) _M="release.yml: automatic delivery (delivery-auto), the GitHub App merges the delivery PR as soon as the checks are green" ;;
+        bots.prev_delivery_approval) _M="release.yml: delivery approved by a person" ;;
+        bots.prev_each_ticket) _M="release.yml: on every ticket, prerelease and delivery request on every merge" ;;
+        bots.prev_grouped) _M="release.yml: grouped, evening prerelease, Friday delivery window" ;;
+        bots.prev_preversion_on) _M="release.yml: prerelease required before a stable version" ;;
+        bots.prev_preversion_off) _M="release.yml: stable version possible without a prerelease (preversion-obligatoire: false)" ;;
         bots.prev_kept) _M="%s exists: kept as is (difference with the template: %s line(s))" ;;
         bots.prev_file) _M="%s: created" ;;
+        bots.prev_ci_langs) _M="  CI tooling: %s (strict when formatting and tests have their tools)" ;;
+        bots.prev_ci_generic) _M="  language not recognized: generic template, add the project tooling (setup-*) then strict: true" ;;
         bots.prev_tickets) _M="tickets: labels and ticket template on GitHub, tickets.yml workflow" ;;
         bots.prev_app) _M="GitHub App: created in the browser, credentials stored as repository variable and secret" ;;
         bots.prev_proteger) _M="GitHub settings: branch and tag rulesets, merge methods" ;;
@@ -577,6 +599,7 @@ _msg_en() {
         tk.init_auto_create_on) _M="Auto ticket creation: ENABLED (ticketAutoCreate = true)" ;;
         tk.init_auto_create_off) _M="Auto ticket creation: DISABLED (default). To enable: git config repowarden.ticketAutoCreate true" ;;
         tk.init_next) _M="Next: commit these files; require the \"ticket\" check (repowarden proteger --checks \"…,ticket\"); in release.yml, wire the tickets job (see the Tickets docs)." ;;
+        tk.init_next_wired) _M="Next: commit these files; require the \"ticket\" check (repowarden proteger --checks \"…,ticket\"). The tickets job of release.yml is already wired." ;;
         tk.prerelease) _M="Available in pre-release **%s**: to be tested before production." ;;
         tk.released) _M="Released in **%s**." ;;
         # Ticket comment

package/hooks/lib/i18n/fr.sh

@@ -284,10 +284,15 @@ _msg_fr() {
         ci.proteger.reviews_invalid) _M="--relecteurs : nombre de 0 à 9 attendu." ;;
         ci.proteger.codeowners_invalid) _M="codeOwnerReview : true ou false." ;;
         ci.proteger.delivery_deploy) _M="  livraison vers main : approbation du déploiement « %s » (Approve and deploy), puis merge par la GitHub App ; merge automatique des PR de travail vers develop : %s" ;;
-        ci.proteger.delivery_invalid) _M="deliveryApproval : deployment ou review." ;;
+        ci.proteger.delivery_invalid) _M="deliveryApproval : deployment, review ou auto." ;;
+        ci.proteger.auto_needs_automerge) _M="deliveryApproval = auto demande le merge automatique du dépôt : retirer autoMergeWork = false de .repowarden.conf, ou choisir deliveryApproval = deployment ou review." ;;
+        ci.proteger.no_delivery_auto) _M="deliveryApproval = auto, mais aucun workflow n'appelle release-auto.yml avec delivery-auto: true : rien n'armera le merge de la livraison, qui se fera à la main (voir docs/releases.md, livraison automatique)." ;;
+        ci.proteger.delivery_auto) _M="  livraison vers main : automatique (la GitHub App la merge dès que les vérifications exigées sont vertes ; %s approbation(s) exigée(s))" ;;
         ci.proteger.automerge_invalid) _M="autoMergeWork : true ou false." ;;
         ci.proteger.unattributed_invalid) _M="unattributedApproval : true ou false." ;;
         ci.proteger.no_branch) _M="Aucune des branches « %s » n'existe sur %s." ;;
+        ci.proteger.no_integration) _M="Branche d'intégration « %s » absente de %s : rien n'a été modifié." ;;
+        ci.proteger.no_integration_hint) _M="  La créer depuis la branche principale : git push origin %s:refs/heads/%s (ou repowarden bots), puis relancer." ;;
         ci.proteger.no_cleanup) _M="Suppression automatique des branches désactivée (elle supprimerait develop) : ajouter un workflow qui appelle nettoyage-branches.yml, sinon les branches mergées restent (voir En organisation)." ;;
         ci.proteger.no_delivery_env) _M="main exigera un déploiement « %s » réussi, mais aucun workflow ne crée ce déploiement : un déploiement que rien ne crée bloquerait main pour toujours. Appeler release-auto.yml avec delivery-environment (voir docs/releases.md, flux develop), ou deliveryApproval = review dans .repowarden.conf." ;;
         ci.proteger.stale_concurrency) _M="%s : une demande de livraison (manuelle ou planifiée) en attente bloquerait en silence les suivantes. Mettre cancel-in-progress: \${{ github.event_name != 'push' }} (une nouvelle demande remplace celle en attente) et un groupe par déclencheur : release-\${{ github.ref_name }}-\${{ github.event.schedule || github.event_name }}." ;;
@@ -391,19 +396,14 @@ _msg_fr() {
         npm.old_npm) _M="npm %s trop ancien : 11.15 au minimum (npm install -g npm@11)." ;;
         npm.step_login) _M="1/3 Compte npm" ;;
         npm.logged) _M="Connecté à npm : %s" ;;
-        npm.no_2fa) _M="Double authentification (2FA) non activée sur le compte npm : npm l'exige pour créer le jeton et configurer la publication sans jeton." ;;
+        npm.no_2fa) _M="Double authentification (2FA) non activée sur le compte npm : npm l'exige pour configurer la publication sans jeton." ;;
         npm.hint_2fa) _M="Activer : npm profile enable-2fa auth-and-writes (QR code pour une application d'authentification), ou https://www.npmjs.com/settings/%s/tfa ; puis relancer cette commande." ;;
-        npm.step_token) _M="2/3 Première publication, par la pipeline (jeton temporaire)" ;;
-        npm.token_exists) _M="Secret NPM_TOKEN déjà présent : réutilisé." ;;
-        npm.ask_password) _M="Mot de passe npm (saisie masquée, transmis à npm seulement) : " ;;
-        npm.ask_otp) _M="Code à usage unique (application d'authentification ou e-mail de npm) : " ;;
-        npm.token_failed) _M="Création du jeton npm impossible (voir ci-dessus) : rien n'a été enregistré." ;;
-        npm.token_stored) _M="Jeton temporaire (7 jours) créé et enregistré en secret NPM_TOKEN, sans affichage." ;;
-        npm.dispatched) _M="Pipeline lancée (%s) : elle publie la dernière release sur npm. Attente… (Ctrl+C : relancer la commande plus tard, elle reprendra)" ;;
-        npm.waiting) _M="La prochaine release publie %s : merge une PR (ou laisse le bot merger la PR de release). Attente… (Ctrl+C : relancer la commande plus tard, elle reprendra)" ;;
-        npm.still_waiting) _M="toujours en attente (%s min)…" ;;
-        npm.not_yet) _M="Pas encore publié : relance cette commande après la prochaine release." ;;
-        npm.first_published) _M="%s@%s publié par la pipeline." ;;
+        npm.step_first) _M="2/3 Première publication, depuis ce poste (dernière release)" ;;
+        npm.no_release) _M="Aucune release encore : rien n'est publié. Relance cette commande après la première release de %s." ;;
+        npm.would_publish) _M="[dry-run] %s@%s serait publié depuis la release %s (npm publish, dans ce terminal)" ;;
+        npm.publishing) _M="Publication de %s@%s (release %s) : npm peut demander une validation (navigateur ou code)." ;;
+        npm.publish_failed) _M="Publication de %s refusée (voir ci-dessus) : rien d'autre n'a été configuré. Relance cette commande." ;;
+        npm.first_published) _M="%s@%s publié." ;;
         npm.step_trust) _M="3/3 Publication sans jeton (publication de confiance)" ;;
         npm.trust_exists) _M="Publication de confiance déjà configurée." ;;
         npm.trust_mismatch) _M="Relation de confiance existante mais ne correspond pas aux paramètres attendus :" ;;
@@ -461,11 +461,18 @@ _msg_fr() {
         app.server_failed) _M="Page locale non démarrée." ;;
         app.open) _M="Ouvre %s puis clique sur le bouton vert de GitHub." ;;
         app.no_code) _M="Aucune réponse de GitHub (création annulée, ou délai de 15 min dépassé)." ;;
+        app.container) _M="Conteneur détecté : la page locale de création (127.0.0.1) ne serait pas joignable depuis le navigateur de l'hôte. Rien n'a été créé." ;;
+        app.howto) _M="Lance la commande sur l'hôte : %s (ou ici avec REPOWARDEN_CONTENEUR=0 si ton navigateur joint le 127.0.0.1 de ce conteneur : réseau de l'hôte, port redirigé)." ;;
+        app.page_timeout) _M="Page locale non consultée en %s s : arrêt, rien n'a été créé." ;;
+        app.orphan) _M="Si tu as cliqué « Create », l'App existe sans identifiants récupérés : supprime-la (paramètres GitHub → Developer settings → GitHub Apps) avant de relancer." ;;
         app.created) _M="App %s créée ; identifiants rangés (variable %s, secret %s)." ;;
         app.step_install) _M="Installation sur le dépôt" ;;
         app.installed) _M="App %s installée sur %s." ;;
         app.not_installed) _M="App %s pas encore installée sur %s : relance repowarden app init une fois installée." ;;
-        app.check_in_ci) _M="Installation vérifiée au premier run du suivi des tickets (étape « Jeton de l'App ») ; pour l'installer : %s" ;;
+        app.not_verified) _M="Installation de l'App %s sur %s non vérifiée : la clé privée n'est pas sur ce poste (seule l'App peut lister ses installations). Si elle n'est pas installée, les workflows échoueront à l'étape « Jeton de l'App ». L'installer : %s" ;;
+        app.name_taken) _M="Une GitHub App s'appelle déjà %s (souvent une App orpheline d'un essai interrompu : créée sur GitHub, identifiants jamais rangés)." ;;
+        app.name_taken_fix) _M="Au choix : relancer avec --nom <autre nom>, ou supprimer l'App orpheline (Settings → Developer settings → GitHub Apps → l'App → Advanced → Delete) : %s" ;;
+        app.name_hint) _M="Si GitHub refuse le nom %s (déjà utilisé) : Ctrl+C, puis relancer avec --nom <autre nom>, ou supprimer l'App orpheline : %s" ;;
         app.done) _M="Les workflows repowarden utilisent désormais l'App : ce qu'ils font déclenche les autres workflows." ;;
         app.next) _M="Sans l'App (variable et secret absents), ils reprennent le jeton des Actions." ;;
         app.bot_all_repos) _M="Bot d'organisation : à l'installation, choisir « All repositories » (les nouveaux dépôts seront couverts d'office ; seuls ceux avec un .repowarden.conf sont gérés)." ;;
@@ -524,12 +531,27 @@ _msg_fr() {
         bots.ask_app) _M="GitHub App ?" ;;
         bots.ask_proteger) _M="Protection des branches ?" ;;
         bots.ask_npm) _M="Publication npm ?" ;;
+        bots.desc_delivery) _M="Livraison develop → main : automatique (la GitHub App merge la PR de livraison dès que les vérifications sont vertes ; la validation humaine est le merge de chaque ticket) ou approbation humaine (défaut)" ;;
+        bots.ask_delivery_auto) _M="Livraison automatique ? (non : approbation humaine)" ;;
+        bots.auto_no_app) _M="Livraison automatique sans GitHub App : le merge automatique exige l'App (repowarden app init) ; sans elle, la PR de livraison reste à merger à la main." ;;
+        bots.desc_rythme) _M="Rythme : à chaque ticket (préversion et demande de livraison à chaque merge) ou regroupé (défaut : préversion le soir, fenêtre de livraison le vendredi)" ;;
+        bots.ask_each_ticket) _M="À chaque ticket ? (non : regroupé)" ;;
+        bots.ask_preversion) _M="Préversion obligatoire avant une version stable ?" ;;
         bots.preview) _M="Aperçu" ;;
         bots.prev_develop) _M="branche %s créée sur GitHub depuis %s" ;;
         bots.prev_conf) _M=".repowarden.conf : integrationBranch = %s, branches protégées" ;;
         bots.prev_review) _M=".repowarden.conf : livraison validée par la revue de sa PR (sans GitHub App)" ;;
+        bots.prev_conf_auto) _M=".repowarden.conf : deliveryApproval = auto (livraison automatique)" ;;
+        bots.prev_delivery_auto) _M="release.yml : livraison automatique (delivery-auto), la GitHub App merge la PR de livraison dès que les vérifications sont vertes" ;;
+        bots.prev_delivery_approval) _M="release.yml : livraison approuvée par une personne" ;;
+        bots.prev_each_ticket) _M="release.yml : à chaque ticket, préversion et demande de livraison à chaque merge" ;;
+        bots.prev_grouped) _M="release.yml : regroupé, préversion le soir, fenêtre de livraison le vendredi" ;;
+        bots.prev_preversion_on) _M="release.yml : préversion obligatoire avant une version stable" ;;
+        bots.prev_preversion_off) _M="release.yml : version stable possible sans préversion (preversion-obligatoire: false)" ;;
         bots.prev_kept) _M="%s existe : gardé tel quel (écart avec le modèle : %s ligne(s))" ;;
         bots.prev_file) _M="%s : créé" ;;
+        bots.prev_ci_langs) _M="  outillage de la CI : %s (strict si formatage et tests sont outillés)" ;;
+        bots.prev_ci_generic) _M="  langage non reconnu : modèle générique, outillage du projet à ajouter (setup-*) puis strict: true" ;;
         bots.prev_tickets) _M="tickets : étiquettes et modèle de ticket sur GitHub, workflow tickets.yml" ;;
         bots.prev_app) _M="GitHub App : créée dans le navigateur, identifiants rangés en variable et secret du dépôt" ;;
         bots.prev_proteger) _M="réglages GitHub : rulesets des branches et des tags, modes de merge" ;;
@@ -577,6 +599,7 @@ _msg_fr() {
         tk.init_auto_create_on) _M="Création auto de ticket : ACTIVÉE (ticketAutoCreate = true)" ;;
         tk.init_auto_create_off) _M="Création auto de ticket : DÉSACTIVÉE (défaut). Pour l'activer : git config repowarden.ticketAutoCreate true" ;;
         tk.init_next) _M="Ensuite : committer ces fichiers ; exiger la vérification « ticket » (repowarden proteger --checks \"…,ticket\") ; dans release.yml, brancher le job tickets (voir la doc Tickets)." ;;
+        tk.init_next_wired) _M="Ensuite : committer ces fichiers ; exiger la vérification « ticket » (repowarden proteger --checks \"…,ticket\"). Le job tickets de release.yml est déjà branché." ;;
         tk.prerelease) _M="Disponible en préversion **%s** : à tester avant la production." ;;
         tk.released) _M="Publié dans **%s**." ;;
         # Ticket comment

package/hooks/lib/tickets.sh

@@ -63,8 +63,10 @@ ticket_branch_r() {
 # REPLY = titre de PR d'un ticket : $1 type (« feat » par défaut), $2 titre du
 # ticket → « feat(portée): sujet ». Portée = préfixe du titre avant le premier
 # « : » (« Tickets : … » → « tickets »), 20 caractères au plus, omise si vide ;
-# sujet = le reste, première lettre abaissée. 72 caractères au plus, coupé sur
-# un mot entier. Vide si le titre ne donne rien (l'appelant décide du repli).
+# sujet = le reste, première lettre abaissée sauf sur un sigle (README, IA :
+# initiale suivie d'une majuscule). 72 caractères au plus, coupé à la dernière
+# espace, jamais dans un mot. Vide si le titre ne donne rien (l'appelant décide
+# du repli).
 ticket_pr_title_r() {
     local type="${1:-feat}" titre="$2" portee sujet tete res
     sujet="$titre"
@@ -75,15 +77,17 @@ ticket_pr_title_r() {
         [ "${#portee}" -le 20 ] || portee=""
         sujet="${BASH_REMATCH[2]}"
     fi
-    sujet="$(printf '%s' "${sujet:0:1}" | LC_ALL=C tr '[:upper:]' '[:lower:]')${sujet:1}"
+    [[ "${sujet:1:1}" == [[:upper:]] ]] ||
+        sujet="$(printf '%s' "${sujet:0:1}" | LC_ALL=C tr '[:upper:]' '[:lower:]')${sujet:1}"
     tete="$type${portee:+($portee)}: "
     REPLY=""
     [ -n "$sujet" ] || return 0
     res="$tete$sujet"
-    # 72 caractères au plus, coupé sur un mot entier (authored_length → REPLY)
+    # 72 caractères au plus, coupé sur un mot entier (authored_length → REPLY) ;
+    # un mot seul trop long n'est pas tronqué : titre vide
     authored_length "$res"
     while [ "$REPLY" -gt 72 ] && [ -n "$sujet" ]; do
-        if [[ "$sujet" == *" "* ]]; then sujet="${sujet% *}"; else sujet="${sujet%?}"; fi
+        if [[ "$sujet" == *" "* ]]; then sujet="${sujet% *}"; else sujet=""; fi
         res="$tete$sujet"
         authored_length "$res"
     done

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.8.3",
+  "version": "4.9.0-next.10",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",
@@ -16,7 +16,7 @@
     "type": "git",
     "url": "git+https://github.com/simdevWarden/repowarden.git"
   },
-  "license": "MIT",
+  "license": "GPL-3.0-or-later",
   "author": "SimBienvenueHoulBoumi (https://github.com/SimBienvenueHoulBoumi)",
   "bin": {
     "repowarden": "bin/repowarden",