repowarden 4.8.3 → 4.9.0-next.6

package/bin/app

@@ -15,7 +15,7 @@
 #    --administration, pour appliquer la configuration depuis la CI) ;
 # 2. identifiants rangés sans être affichés : variable REPOWARDEN_APP_CLIENT_ID,
 #    secret REPOWARDEN_APP_KEY (clé privée) ;
-# 3. installation sur le dépôt : tu cliques sur « Install ».
+# 3. installation sur le dépôt : « Install » (vérifiée avec la clé ; relance : « non vérifiée »).
 # Relançable : une App déjà configurée n'est pas recréée. Demande gh et node.
 set -euo pipefail
 
@@ -75,9 +75,20 @@ if [ -n "$client_id" ] && grep -q "^${PREFIXE}_KEY" <<<"$(gh secret list --repo
     slug="$(gh variable get "${PREFIXE}_SLUG" --repo "$REPO" 2>/dev/null || true)"
 else
     if [ "$(gh api "users/$owner" -q .type)" = Organization ]; then
-        cible="https://github.com/organizations/$owner/settings/apps/new"
+        apps="https://github.com/organizations/$owner/settings/apps"
     else
-        cible="https://github.com/settings/apps/new"
+        apps="https://github.com/settings/apps"
+    fi
+    cible="$apps/new"
+    # Nom déjà pris (souvent une App orpheline d'un essai interrompu) : GitHub
+    # refuserait la création ; arrêt avec la marche à suivre. Slug : nom en
+    # minuscules, autres caractères en tirets ; une App privée d'un autre
+    # compte reste invisible (rappel à l'ouverture de la page)
+    slug_voulu="$(printf '%s' "$NOM" | tr '[:upper:]' '[:lower:]' | sed 's/[^a-z0-9-]/-/g')"
+    if [ "$(gh api "apps/$slug_voulu" -q .slug 2>/dev/null || true)" = "$slug_voulu" ]; then
+        err_t app.name_taken "$NOM"
+        info_t app.name_taken_fix "$apps"
+        exit 1
     fi
     sortie="$(mktemp)"
     trap 'rm -f "$sortie"' EXIT
@@ -120,10 +131,11 @@ else
     port="$(sed -n 's/^PORT //p' "$sortie")"
     [ -n "$port" ] || { err_t app.server_failed; exit 1; }
     info_t app.open "http://127.0.0.1:$port/"
+    dim_t app.name_hint "$NOM" "$apps"
     ouvrir "http://127.0.0.1:$port/"
     wait "$serveur" || true
     code="$(sed -n 's/^CODE //p' "$sortie")"
-    [ -n "$code" ] || { err_t app.no_code; exit 1; }
+    [ -n "$code" ] || { err_t app.no_code; info_t app.name_taken_fix "$apps"; exit 1; }
     # Conversion du code : identifiants de l'App, rangés sans être affichés
     reponse="$(gh api -X POST "app-manifests/$code/conversions")"
     client_id="$(node -p 'JSON.parse(require("fs").readFileSync(0, "utf8")).client_id' <<<"$reponse")"
@@ -153,10 +165,10 @@ installee() {
 }
 cle="${cle:-}"
 if [ -z "$cle" ]; then
-    # Relance (clé non disponible ici) : vérifiée au premier run du suivi des tickets
-    info_t app.check_in_ci "https://github.com/apps/$slug/installations/new"
-    echo
-    ok_t app.done
+    # Relance : la clé privée n'est pas ici, et le jeton de gh ne peut pas
+    # lister les installations d'une App (user/installations : 403) ; état
+    # « non vérifié » plutôt qu'un succès non constaté
+    attention_t app.not_verified "${slug:-?}" "$REPO" "https://github.com/apps/${slug:-<slug>}/installations/new"
     exit 0
 fi
 if [ -n "$slug" ] && ! installee; then

package/bin/bots

@@ -80,7 +80,7 @@ t bots.flow_question
 printf '%s\n' "$REPLY" >&2
 t bots.flow_main "$PRINCIPALE"
 printf '  1) %s\n' "$REPLY" >&2
-t bots.flow_develop "$PRINCIPALE"
+t bots.flow_develop "$PRINCIPALE" "$PRINCIPALE"
 printf '  2) %s\n' "$REPLY" >&2
 # develop → main par défaut : seul develop entre dans main
 choix_flux=2
@@ -90,8 +90,9 @@ case "${reponse:-$choix_flux}" in
     *) FLUX=main; INTEGRATION="" ;;
 esac
 CREER_DEVELOP=""
+# Nom renvoyé comparé : sur une 404, gh écrit le corps de l'erreur sur stdout
 if [ "$FLUX" = develop ] &&
-    [ -z "$(gh api "repos/$REPO/branches/$INTEGRATION" --jq .name 2>/dev/null || true)" ]; then
+    [ "$(gh api "repos/$REPO/branches/$INTEGRATION" --jq .name 2>/dev/null || true)" != "$INTEGRATION" ]; then
     if demander bots.ask_create_develop o; then
         CREER_DEVELOP=1
     else
@@ -251,6 +252,27 @@ YAML
       app-client-id: ${{ vars.REPOWARDEN_APP_CLIENT_ID }}
     secrets:
       app-key: ${{ secrets.REPOWARDEN_APP_KEY }}
+YAML
+        fi
+    fi
+    # Tickets livrés : statut done et fermeture à la release, préprod à la
+    # préversion ; seulement avec le suivi des tickets (sinon le job échoue)
+    if choisi tickets || [ -e .github/workflows/tickets.yml ]; then
+        cat <<'YAML'
+
+  tickets:
+    needs: release
+    if: needs.release.outputs.release_created == 'true' || needs.release.outputs.prerelease_created == 'true'
+    uses: simdevWarden/repowarden/.github/workflows/tickets.yml@v4
+    permissions: { contents: write, issues: write, pull-requests: write, statuses: write }
+    with:
+      tag: ${{ needs.release.outputs.tag_name || needs.release.outputs.prerelease_tag }}
+YAML
+        if [ -n "$AVEC_APP" ]; then
+            cat <<'YAML'
+      app-client-id: ${{ vars.REPOWARDEN_APP_CLIENT_ID }}
+    secrets:
+      app-key: ${{ secrets.REPOWARDEN_APP_KEY }}
 YAML
         fi
     fi
@@ -332,7 +354,9 @@ if [ -n "$CREER_DEVELOP" ]; then
 fi
 if [ "$FLUX" = develop ]; then
     conf="$GIT_TOPLEVEL/.repowarden.conf"
-    git config -f "$conf" repowarden.integrationBranch "$INTEGRATION"
+    # Valeur déjà en place : fichier laissé tel quel (git config le réindenterait)
+    [ "$(git config -f "$conf" --get repowarden.integrationBranch || true)" = "$INTEGRATION" ] ||
+        git config -f "$conf" repowarden.integrationBranch "$INTEGRATION"
     git config -f "$conf" --get repowarden.protectedBranches >/dev/null ||
         git config -f "$conf" repowarden.protectedBranches "$PRINCIPALE $INTEGRATION"
     if [ -z "$AVEC_APP" ]; then

package/bin/npm-publication

@@ -5,16 +5,16 @@
 # de confiance, OIDC) et joint la provenance au paquet.
 #
 #   bin/npm-publication [--repo propriétaire/nom] [--workflow release.yml]
-#                       [--environnement NOM]
+#                       [--environnement NOM] [--dry-run]
 #
 # 1. connexion npm (npm login si besoin) ;
 # 2. paquet absent de npm (la publication de confiance exige un paquet
-#    existant) : jeton npm temporaire (7 jours, limité au scope du paquet)
-#    créé et rangé directement en secret NPM_TOKEN, sans être affiché ;
-#    variable REPOWARDEN_NPM=true ; la pipeline publie la dernière release
-#    (lancée par la commande), ou la prochaine s'il n'y en a pas encore ;
-# 3. publication de confiance (npm trust github), puis jeton révoqué et
-#    secret supprimé. Interrompue, la commande reprend où elle en était.
+#    existant) : la dernière release est publiée d'ici, par npm publish lancé
+#    dans le terminal (npm conduit sa validation : navigateur ou code) ;
+#    aucune release : rien n'est publié, relancer après la première ;
+# 3. publication de confiance (npm trust github), variable REPOWARDEN_NPM ;
+#    un ancien secret NPM_TOKEN et d'anciens jetons temporaires sont retirés.
+#    Interrompue, la commande reprend où elle en était.
 set -euo pipefail
 
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
@@ -48,8 +48,7 @@ cd "$GIT_TOPLEVEL"
 [ -f package.json ] || { err_t npm.no_package; exit 1; }
 [ -n "$REPO" ] || REPO="$(gh repo view --json nameWithOwner -q .nameWithOwner)"
 name="$(node -p 'require("./package.json").name')"
-# Préfixe des jetons temporaires : nom unique à chaque création (npm refuse
-# les doublons, y compris celui d'une tentative interrompue) ; tous révoqués à la fin
+# Préfixe des jetons temporaires de l'ancien parcours, révoqués à la fin
 TOKEN_PREFIX="repowarden-ci-${REPO##*/}"
 
 # Vérifie si une relation de confiance correspond aux paramètres attendus.
@@ -119,8 +118,8 @@ brand "npm · $name · $REPO"
 step_t npm.step_login
 npm whoami >/dev/null 2>&1 || npm login
 ok_t npm.logged "$(npm whoami)"
-# Créer un jeton et configurer la publication de confiance exigent la 2FA du
-# compte (les codes envoyés par e-mail ne sont qu'une vérification de connexion)
+# Configurer la publication de confiance exige la 2FA du compte (les codes
+# envoyés par e-mail ne sont qu'une vérification de connexion)
 if [ "$(npm profile get --json 2>/dev/null | node -e 'try{const p=JSON.parse(require("fs").readFileSync(0,"utf8"));process.stdout.write(p.tfa&&p.tfa.mode?"1":"")}catch{}')" != 1 ]; then
     err_t npm.no_2fa
     dim_t npm.hint_2fa "$(npm whoami)"
@@ -129,69 +128,40 @@ fi
 
 publie() { [ -n "$(npm view "$name" name 2>/dev/null || true)" ]; }
 
-# 2. Première publication, faite par la pipeline avec un jeton temporaire
+# 2. Première publication, faite ici depuis la dernière release : npm conduit
+# lui-même sa validation (navigateur ou code), dans le terminal. Aucun jeton
+# créé ni stocké, aucun mot de passe saisi par repowarden
 if ! publie; then
-    step_t npm.step_token
-    if grep -q '^NPM_TOKEN' <<<"$(gh secret list --repo "$REPO")"; then
-        ok_t npm.token_exists
-    else
-        # npm écrit ses questions et le jeton au même endroit : les questions
-        # sont posées ici (saisie masquée) et le jeton va droit au secret
-        if [[ "$name" == @*/* ]]; then portee=(--scopes "${name%%/*}"); else portee=(--packages-all); fi
-        t npm.ask_password
-        read -r -s -p "  $REPLY" mdp
-        echo
-        otp="" sortie=""
-        for essai in 1 2 3 4; do
-            # Sortie texte, pas --json : npm y masque le jeton (« npm_*** »)
-            if sortie="$(npm_config_password="$mdp" npm_config_otp="$otp" npm token create \
-                --name "$TOKEN_PREFIX-$(date +%Y%m%d%H%M%S)" --expires 7 "${portee[@]}" \
-                --packages-and-scopes-permission read-write --bypass-2fa </dev/null 2>&1)"; then
-                break
-            fi
-            # Code à usage unique (application ou e-mail) demandé : on le pose
-            if [ "$essai" -lt 4 ] && grep -qiE 'otp|one-time|two-factor' <<<"$sortie"; then
-                t npm.ask_otp
-                read -r -p "  $REPLY" otp
-                continue
-            fi
-            sed -E 's/npm_[A-Za-z0-9]+/npm_***/g' <<<"$sortie" >&2
-            mdp=""
-            err_t npm.token_failed
-            exit 1
-        done
-        mdp=""
-        jeton="$(grep -oE 'npm_[A-Za-z0-9]+' <<<"$sortie" | sed -n 1p || true)"
-        sortie=""
-        [ -n "$jeton" ] || { err_t npm.token_failed; exit 1; }
-        printf '%s' "$jeton" | gh secret set NPM_TOKEN --repo "$REPO"
-        jeton=""
-        ok_t npm.token_stored
+    step_t npm.step_first
+    tag="$(gh release view --repo "$REPO" --json tagName -q .tagName 2>/dev/null || true)"
+    if [ -z "$tag" ]; then
+        attention_t npm.no_release "$name"
+        exit 0
     fi
-    gh variable set REPOWARDEN_NPM --repo "$REPO" --body true
-
-    # Release déjà publiée : la pipeline est lancée tout de suite (elle publie
-    # la dernière release absente de npm) ; sinon, la prochaine release publie
-    if [ -n "$(git ls-remote --tags origin 'v[0-9]*')" ]; then
-        branche="$(gh repo view "$REPO" --json defaultBranchRef -q .defaultBranchRef.name)"
-        gh workflow run "$WORKFLOW" --repo "$REPO" --ref "$branche"
-        info_t npm.dispatched "$WORKFLOW"
-    else
-        info_t npm.waiting "$name"
+    version="${tag#v}"
+    if [ "$DRY_RUN" = true ]; then
+        info_t npm.would_publish "$name" "$version" "$tag"
+        exit 0
+    fi
+    clone="$(mktemp -d "${TMPDIR:-/tmp}/repowarden-npm.XXXXXX")"
+    trap 'rm -rf "$clone"' EXIT
+    gh repo clone "$REPO" "$clone/src" -- -q --depth 1 --branch "$tag"
+    info_t npm.publishing "$name" "$version" "$tag"
+    # Sortie non capturée, entrée héritée : npm pose ses questions lui-même
+    if ! (cd "$clone/src" && npm pkg set "version=$version" && npm publish --access public); then
+        err_t npm.publish_failed "$name"
+        exit 1
     fi
-    for i in $(seq 1 360); do
-        publie && break
-        [ $((i % 10)) -ne 0 ] || dim_t npm.still_waiting "$((i / 2))"
-        sleep 30
-    done
-    publie || { attention_t npm.not_yet; exit 0; }
-    ok_t npm.first_published "$name" "$(npm view "$name" version)"
+    rm -rf "$clone"
+    trap - EXIT
+    ok_t npm.first_published "$name" "$version"
 fi
 
 # 3. Publication de confiance, puis plus aucun jeton
 step_t npm.step_trust
-verifier_trust
-cas=$?
+# Pas de relation (1) ou relation différente (2) : ne doit pas arrêter le script (set -e)
+cas=0
+verifier_trust || cas=$?
 if [ "$cas" = 0 ]; then
     ok_t npm.trust_exists
 elif [ "$cas" = 1 ]; then

package/bin/proteger

@@ -7,7 +7,9 @@
 #   - tags v* : créés, déplacés ou supprimés uniquement par les workflows ;
 #   - GitHub Actions autorisé à créer des PR (releases automatiques) ;
 #   - validation humaine (optionnelle) : approbations obligatoires, revue des
-#     CODEOWNERS, environnement de déploiement approuvé par des personnes.
+#     CODEOWNERS, environnement de déploiement approuvé par des personnes ;
+#     livraison approuvée (deliveryApproval deployment ou review, défaut) ou
+#     automatique (auto : vérifications exigées gardées).
 #
 #   bin/proteger [--repo propriétaire/nom] [--checks "repowarden,tests (ubuntu-latest)"] [--relecteurs N]
 #                [--codeowners] [--environnement NOM] [--approbateurs "login …"]
@@ -54,7 +56,7 @@ while [ $# -gt 0 ]; do
         --sans-tags) NO_TAGS=1 ;;
         --dry-run) DRY_RUN=1 ;;
         --verifier) VERIFY=1 ;;
-        -h | --help) sed -n '2,18p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
+        -h | --help) sed -n '2,19p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
         *) err_t install.unknown_arg "$1"; exit 1 ;;
     esac
     shift
@@ -84,6 +86,16 @@ for b in $protected; do
     [ "$(gh api "repos/$REPO/branches/$b" --jq .name 2>/dev/null)" = "$b" ] && existing="$existing $b"
 done
 [ -n "$existing" ] || { err_t ci.proteger.no_branch "$protected" "$REPO"; exit 1; }
+# Branche d'intégration absente : arrêt avant toute modification (GitHub
+# refuserait une branche par défaut inexistante, réglages posés à moitié)
+if [ -n "$integration" ] &&
+    [ "$(gh api "repos/$REPO/branches/$integration" --jq .name 2>/dev/null)" != "$integration" ]; then
+    principale=main
+    for b in $existing; do [ "$b" = "$integration" ] || { principale="$b"; break; }; done
+    err_t ci.proteger.no_integration "$integration" "$REPO"
+    dim_t ci.proteger.no_integration_hint "$principale" "$integration"
+    exit 1
+fi
 
 # Vérifications séparées par des virgules : un nom de job peut contenir des
 # espaces (« tests (ubuntu-latest) »)
@@ -179,14 +191,21 @@ if [ -n "$integration" ]; then
     # l'approbation de l'environnement de livraison (« Approve and deploy »),
     # exigée par une règle de main (déploiement réussi) ; la revue de PR n'est
     # plus nécessaire (relectures configurées : gardées). review : revue de PR.
+    # auto : choix du projet, la validation humaine est le merge de chaque
+    # ticket ; la GitHub App arme le merge de la livraison (release-auto,
+    # delivery-auto), qui part quand les vérifications exigées sont vertes.
+    # Ni règle de déploiement ni environnement créé d'office ; vérifications
+    # et relectures configurées gardées.
     cfg_r deliveryApproval deployment
     DELIVERY="$REPLY"
-    [[ "$DELIVERY" =~ ^(deployment|review)$ ]] || { err_t ci.proteger.delivery_invalid; exit 1; }
+    [[ "$DELIVERY" =~ ^(deployment|review|auto)$ ]] || { err_t ci.proteger.delivery_invalid; exit 1; }
     deploiement=""
     if [ "$DELIVERY" = deployment ]; then
         ENVIRONMENT="${ENVIRONMENT:-production}"
         livraison="$REVIEWS"
         deploiement="{\"type\": \"required_deployments\", \"parameters\": {\"required_deployment_environments\": [\"$ENVIRONMENT\"]}}"
+    elif [ "$DELIVERY" = auto ]; then
+        livraison="$REVIEWS"
     fi
     # PR à jour non exigée non plus : le merge commit d'une livraison n'existe
     # que sur main ; strict, la livraison suivante serait bloquée tant que
@@ -218,6 +237,11 @@ if [ -n "$integration" ]; then
     cfg_r autoMergeWork true
     auto_merge="$REPLY"
     [[ "$auto_merge" =~ ^(true|false)$ ]] || { err_t ci.proteger.automerge_invalid; exit 1; }
+    # Livraison automatique : merge automatique du dépôt indispensable
+    if [ "$DELIVERY" = auto ] && [ "$auto_merge" = false ]; then
+        err_t ci.proteger.auto_needs_automerge
+        exit 1
+    fi
     # Sans ce workflow, les branches mergées ne seraient plus supprimées
     if ! grep -qs "nettoyage-branches.yml" "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; then
         attention_t ci.proteger.no_cleanup
@@ -228,6 +252,11 @@ if [ -n "$integration" ]; then
         ! grep -qs "delivery-environment:" "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; then
         attention_t ci.proteger.no_delivery_env "$ENVIRONMENT"
     fi
+    # Livraison automatique que rien n'arme : la PR se mergera à la main
+    if [ "$DELIVERY" = auto ] &&
+        ! grep -qsE "^[[:space:]]*delivery-auto:[[:space:]]*true" "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; then
+        attention_t ci.proteger.no_delivery_auto
+    fi
     # Demande de livraison (manuelle, planifiée) qui ne remplace pas celle en
     # attente : une demande oubliée bloquerait en silence les suivantes
     for wf in "$GIT_TOPLEVEL"/.github/workflows/*.y*ml; do
@@ -266,6 +295,8 @@ echo_t ci.proteger.3 "$CHECKS"
 echo_t ci.proteger.4 "$methods" "$delete_on_merge"
 if [ -n "$integration" ] && [ "$DELIVERY" = deployment ]; then
     echo_t ci.proteger.delivery_deploy "$ENVIRONMENT" "$auto_merge"
+elif [ -n "$integration" ] && [ "$DELIVERY" = auto ]; then
+    echo_t ci.proteger.delivery_auto "$livraison"
 elif [ -n "$integration" ]; then
     echo_t ci.proteger.delivery "$livraison" "$auto_merge"
 fi

package/bin/tickets

@@ -12,7 +12,8 @@
 #     mainteneur → backlog, sinon à valider ; --sans-validation-auto : tous à
 #     valider) ; branches des PR ouvertes et mergées inscrites sur leurs tickets.
 # Ensuite : committer ces fichiers, exiger la vérification « ticket »
-# (repowarden proteger --checks "…,ticket") et brancher le job tickets de release.yml.
+# (repowarden proteger --checks "…,ticket") et, s'il n'y est pas, brancher le
+# job tickets de release.yml (repowarden bots l'y écrit).
 set -euo pipefail
 
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd -P)"
@@ -41,7 +42,7 @@ if [ "$commande" = sync ]; then
     exit 0
 fi
 if [ "$commande" != init ]; then
-    sed -n '2,15p' "$0" | sed 's/^# \{0,1\}//'
+    sed -n '2,16p' "$0" | sed 's/^# \{0,1\}//'
     [ "$commande" = "" ] || [ "$commande" = -h ] || [ "$commande" = --help ]
     exit
 fi
@@ -149,4 +150,9 @@ esac
 
 echo
 ok_t tk.init_done
-dim_t tk.init_next
+# Job tickets de release.yml déjà branché (modèle de repowarden bots) : rien à ajouter
+if grep -qs 'workflows/tickets\.yml@' .github/workflows/release.yml; then
+    dim_t tk.init_next_wired
+else
+    dim_t tk.init_next
+fi

package/ci/tickets/issue.sh

@@ -31,27 +31,56 @@ accepter() {
         -q '.[] | [.number, .headRefName, .headRefOid, .baseRefName, .isDraft] | @tsv')
 }
 
+# Ticket ouvert par un mainteneur (droits d'écriture) : c'est déjà sa
+# décision, validé d'office. Vérifié par tout événement du ticket (idempotent) :
+# GitHub ne garde qu'un run en attente par groupe de concurrence, le run
+# « opened » peut être annulé par ceux des étiquettes posées à la création.
+# Non si déjà validé, ou (hors ouverture) rangé au-delà de « à valider »
+# (« validé » retiré à la main : décision respectée). Test seul : appelé dans un « if », où set -e
+# ne s'applique pas.
+a_valider_d_office() {
+    local labels l
+    [ "${AUTO_VALIDATE:-maintainers}" = maintainers ] || return 1
+    est_mainteneur "${ISSUE_ASSOCIATION:-}" || return 1
+    [ "${ISSUE_STATE:-open}" = open ] || return 1
+    labels="$(etiquettes "$ISSUE")"
+    ! grep -qxF "$VALIDE" <<<"$labels" || return 1
+    [ "$ACTION" != opened ] || return 0
+    while IFS= read -r l; do
+        [[ "$l" == "statut: "* && "$l" != "$S_AVALIDER" ]] && return 1
+    done <<<"$labels"
+    return 0
+}
+
+valider_d_office() {
+    gh issue edit "$ISSUE" --add-label "$VALIDE" >/dev/null
+    statut "$ISSUE" "$S_AVALIDER"
+    accepter "$ISSUE"
+}
+
 cmd_issue() {
     local pr sha head body
     case "$ACTION" in
         opened)
             est_valide "$ISSUE" && return 0
-            # Ouvert par un mainteneur (droits d'écriture) : c'est déjà sa
-            # décision, validé d'office ; sinon, un mainteneur pose « validé »
-            if [ "${AUTO_VALIDATE:-maintainers}" = maintainers ] &&
-                est_mainteneur "${ISSUE_ASSOCIATION:-}"; then
-                gh issue edit "$ISSUE" --add-label "$VALIDE" >/dev/null
-                statut "$ISSUE" "$S_AVALIDER"
-                accepter "$ISSUE"
+            # Validé d'office, sinon un mainteneur pose « validé »
+            if a_valider_d_office; then
+                valider_d_office
             else
                 statut "$ISSUE" "$S_AVALIDER"
             fi
             ;;
         labeled)
-            [ "${LABEL:-}" = "$VALIDE" ] || return 0
-            accepter "$ISSUE"
+            if [ "${LABEL:-}" = "$VALIDE" ]; then
+                accepter "$ISSUE"
+            elif a_valider_d_office; then
+                valider_d_office
+            fi
             ;;
         assigned)
+            if a_valider_d_office; then
+                valider_d_office
+            fi
             # Pris en charge : sa branche (s'il est validé), en cours s'il est
             # validé ET assigné (quelle que soit la présence du label backlog,
             # pour gérer la race validation+assignation quasi simultanée).

package/ci/tickets/push.sh

@@ -34,11 +34,32 @@ commit_impact_r() {
     REPLY="$meilleur"
 }
 
-# REPLY = titre de la PR brouillon du ticket $1 (branche $2) : « type(portée):
-# sujet » depuis le ticket, sinon le commit conforme de plus fort impact de la
-# branche, sinon le titre déduit de la branche
+# REPLY = en-tête du premier commit de la branche $1 par rapport à la branche
+# d'intégration, sans « (#N) » final ; vide s'il n'est pas utilisable (aucun
+# commit, non conforme, plus de 72 caractères). Lu par l'API : le checkout du
+# workflow est celui de repowarden, pas l'historique du projet.
+premier_commit_r() {
+    local s
+    s="$(gh api "repos/$GH_REPO/compare/$INTEGRATION...$1" \
+        -q '.commits[0].commit.message // "" | split("\n")[0] // ""' 2>/dev/null || true)"
+    s="${s%%$'\n'*}"
+    s="${s%$'\r'}"
+    [[ "$s" =~ ^(.*[^[:space:]])[[:space:]]+\(#[0-9]+\)$ ]] && s="${BASH_REMATCH[1]}"
+    REPLY=""
+    [[ "$s" =~ $CC_PATTERN ]] || return 0
+    authored_length "$s"
+    [ "$REPLY" -le 72 ] || { REPLY=""; return 0; }
+    REPLY="$s"
+}
+
+# REPLY = titre de la PR brouillon du ticket $1 (branche $2) : en-tête du
+# premier commit de la branche (déjà validé par les hooks, il devient le commit
+# de squash), sinon « type(portée): sujet » depuis le ticket, sinon le commit
+# conforme de plus fort impact, sinon le titre déduit de la branche
 titre_pr_brouillon_r() {
     local n="$1" branche="$2" type
+    premier_commit_r "$branche"
+    [ -z "$REPLY" ] || return 0
     ticket_type_r "$(etiquettes "$n")"
     type="$REPLY"
     ticket_pr_title_r "$type" "$(gh issue view "$n" --json title -q .title)"
@@ -82,7 +103,8 @@ description_pr_brouillon_r() {
 }
 
 # Premier push sur la branche d'un ticket : PR brouillon vers la branche
-# d'intégration, au titre et à la description repris du ticket, citant le
+# d'intégration, titrée par le premier commit (repli : le ticket), à la
+# description reprise du ticket, citant le
 # ticket, assignée à l'auteur du push ; ticket en cours. Ouverte par le jeton
 # des Actions, elle ne lance pas la CI : elle tourne au push suivant, ou au
 # passage « prête pour revue ». Tant qu'elle est en brouillon, chaque push met

package/hooks/lib/i18n/en.sh

@@ -284,10 +284,15 @@ _msg_en() {
         ci.proteger.reviews_invalid) _M="--relecteurs: a number from 0 to 9 is expected." ;;
         ci.proteger.codeowners_invalid) _M="codeOwnerReview: true or false." ;;
         ci.proteger.delivery_deploy) _M="  delivery into main: approval of the \"%s\" deployment (Approve and deploy), then merged by the GitHub App; auto-merge of work PRs into develop: %s" ;;
-        ci.proteger.delivery_invalid) _M="deliveryApproval: deployment or review." ;;
+        ci.proteger.delivery_invalid) _M="deliveryApproval: deployment, review or auto." ;;
+        ci.proteger.auto_needs_automerge) _M="deliveryApproval = auto needs the repository's auto-merge: remove autoMergeWork = false from .repowarden.conf, or choose deliveryApproval = deployment or review." ;;
+        ci.proteger.no_delivery_auto) _M="deliveryApproval = auto, but no workflow calls release-auto.yml with delivery-auto: true: nothing will arm the delivery merge, which will be done by hand (see docs/releases.md, automatic delivery)." ;;
+        ci.proteger.delivery_auto) _M="  delivery into main: automatic (the GitHub App merges it as soon as the required checks are green; %s approval(s) required)" ;;
         ci.proteger.automerge_invalid) _M="autoMergeWork: true or false." ;;
         ci.proteger.unattributed_invalid) _M="unattributedApproval: true or false." ;;
         ci.proteger.no_branch) _M="None of the branches \"%s\" exists on %s." ;;
+        ci.proteger.no_integration) _M="Integration branch \"%s\" missing on %s: nothing was changed." ;;
+        ci.proteger.no_integration_hint) _M="  Create it from the main branch: git push origin %s:refs/heads/%s (or repowarden bots), then run again." ;;
         ci.proteger.no_cleanup) _M="Automatic branch deletion disabled (it would delete develop): add a workflow calling nettoyage-branches.yml, otherwise merged branches remain (see In an organisation)." ;;
         ci.proteger.no_delivery_env) _M="main will require a successful \"%s\" deployment, but no workflow creates that deployment: a deployment nothing creates would block main forever. Call release-auto.yml with delivery-environment (see docs/releases.md, develop flow), or set deliveryApproval = review in .repowarden.conf." ;;
         ci.proteger.stale_concurrency) _M="%s: a pending delivery request (manual or scheduled) would silently block the next ones. Set cancel-in-progress: \${{ github.event_name != 'push' }} (a new request replaces the pending one) and one group per trigger: release-\${{ github.ref_name }}-\${{ github.event.schedule || github.event_name }}." ;;
@@ -391,19 +396,14 @@ _msg_en() {
         npm.old_npm) _M="npm %s is too old: 11.15 or later required (npm install -g npm@11)." ;;
         npm.step_login) _M="1/3 npm account" ;;
         npm.logged) _M="Logged in to npm: %s" ;;
-        npm.no_2fa) _M="Two-factor authentication (2FA) is not enabled on the npm account: npm requires it to create the token and configure tokenless publishing." ;;
+        npm.no_2fa) _M="Two-factor authentication (2FA) is not enabled on the npm account: npm requires it to configure tokenless publishing." ;;
         npm.hint_2fa) _M="Enable it: npm profile enable-2fa auth-and-writes (QR code for an authenticator app), or https://www.npmjs.com/settings/%s/tfa; then run this command again." ;;
-        npm.step_token) _M="2/3 First publication, by the pipeline (temporary token)" ;;
-        npm.token_exists) _M="NPM_TOKEN secret already present: reused." ;;
-        npm.ask_password) _M="npm password (hidden input, sent to npm only): " ;;
-        npm.ask_otp) _M="One-time code (authenticator app or npm email): " ;;
-        npm.token_failed) _M="Could not create the npm token (see above): nothing was stored." ;;
-        npm.token_stored) _M="Temporary token (7 days) created and stored as the NPM_TOKEN secret, never displayed." ;;
-        npm.dispatched) _M="Pipeline started (%s): it publishes the latest release to npm. Waiting… (Ctrl+C: run the command again later, it resumes)" ;;
-        npm.waiting) _M="The next release publishes %s: merge a PR (or let the bot merge the release PR). Waiting… (Ctrl+C: run the command again later, it resumes)" ;;
-        npm.still_waiting) _M="still waiting (%s min)…" ;;
-        npm.not_yet) _M="Not published yet: run this command again after the next release." ;;
-        npm.first_published) _M="%s@%s published by the pipeline." ;;
+        npm.step_first) _M="2/3 First publication, from this machine (latest release)" ;;
+        npm.no_release) _M="No release yet: nothing is published. Run this command again after the first release of %s." ;;
+        npm.would_publish) _M="[dry-run] %s@%s would be published from release %s (npm publish, in this terminal)" ;;
+        npm.publishing) _M="Publishing %s@%s (release %s): npm may ask for a validation (browser or code)." ;;
+        npm.publish_failed) _M="Publication of %s refused (see above): nothing else was configured. Run this command again." ;;
+        npm.first_published) _M="%s@%s published." ;;
         npm.step_trust) _M="3/3 Tokenless publishing (trusted publishing)" ;;
         npm.trust_exists) _M="Trusted publishing already configured." ;;
         npm.trust_mismatch) _M="Existing trust relationship does not match expected parameters:" ;;
@@ -465,7 +465,10 @@ _msg_en() {
         app.step_install) _M="Installing on the repository" ;;
         app.installed) _M="App %s installed on %s." ;;
         app.not_installed) _M="App %s not installed on %s yet: run repowarden app init again once installed." ;;
-        app.check_in_ci) _M="Installation checked by the first ticket tracking run (\"Jeton de l'App\" step); to install it: %s" ;;
+        app.not_verified) _M="Installation of App %s on %s not verified: the private key is not on this machine (only the App can list its installations). If it is not installed, workflows will fail at the \"Jeton de l'App\" step. To install it: %s" ;;
+        app.name_taken) _M="A GitHub App named %s already exists (often an orphan App from an interrupted attempt: created on GitHub, credentials never stored)." ;;
+        app.name_taken_fix) _M="Either run again with --nom <other name>, or delete the orphan App (Settings → Developer settings → GitHub Apps → the App → Advanced → Delete): %s" ;;
+        app.name_hint) _M="If GitHub refuses the name %s (already taken): Ctrl+C, then run again with --nom <other name>, or delete the orphan App: %s" ;;
         app.done) _M="repowarden workflows now use the App: what they do triggers the other workflows." ;;
         app.next) _M="Without the App (variable and secret missing), they fall back to the Actions token." ;;
         app.bot_all_repos) _M="Organization bot: when installing, choose \"All repositories\" (new repositories are covered automatically; only those with a .repowarden.conf are managed)." ;;
@@ -577,6 +580,7 @@ _msg_en() {
         tk.init_auto_create_on) _M="Auto ticket creation: ENABLED (ticketAutoCreate = true)" ;;
         tk.init_auto_create_off) _M="Auto ticket creation: DISABLED (default). To enable: git config repowarden.ticketAutoCreate true" ;;
         tk.init_next) _M="Next: commit these files; require the \"ticket\" check (repowarden proteger --checks \"…,ticket\"); in release.yml, wire the tickets job (see the Tickets docs)." ;;
+        tk.init_next_wired) _M="Next: commit these files; require the \"ticket\" check (repowarden proteger --checks \"…,ticket\"). The tickets job of release.yml is already wired." ;;
         tk.prerelease) _M="Available in pre-release **%s**: to be tested before production." ;;
         tk.released) _M="Released in **%s**." ;;
         # Ticket comment

package/hooks/lib/i18n/fr.sh

@@ -284,10 +284,15 @@ _msg_fr() {
         ci.proteger.reviews_invalid) _M="--relecteurs : nombre de 0 à 9 attendu." ;;
         ci.proteger.codeowners_invalid) _M="codeOwnerReview : true ou false." ;;
         ci.proteger.delivery_deploy) _M="  livraison vers main : approbation du déploiement « %s » (Approve and deploy), puis merge par la GitHub App ; merge automatique des PR de travail vers develop : %s" ;;
-        ci.proteger.delivery_invalid) _M="deliveryApproval : deployment ou review." ;;
+        ci.proteger.delivery_invalid) _M="deliveryApproval : deployment, review ou auto." ;;
+        ci.proteger.auto_needs_automerge) _M="deliveryApproval = auto demande le merge automatique du dépôt : retirer autoMergeWork = false de .repowarden.conf, ou choisir deliveryApproval = deployment ou review." ;;
+        ci.proteger.no_delivery_auto) _M="deliveryApproval = auto, mais aucun workflow n'appelle release-auto.yml avec delivery-auto: true : rien n'armera le merge de la livraison, qui se fera à la main (voir docs/releases.md, livraison automatique)." ;;
+        ci.proteger.delivery_auto) _M="  livraison vers main : automatique (la GitHub App la merge dès que les vérifications exigées sont vertes ; %s approbation(s) exigée(s))" ;;
         ci.proteger.automerge_invalid) _M="autoMergeWork : true ou false." ;;
         ci.proteger.unattributed_invalid) _M="unattributedApproval : true ou false." ;;
         ci.proteger.no_branch) _M="Aucune des branches « %s » n'existe sur %s." ;;
+        ci.proteger.no_integration) _M="Branche d'intégration « %s » absente de %s : rien n'a été modifié." ;;
+        ci.proteger.no_integration_hint) _M="  La créer depuis la branche principale : git push origin %s:refs/heads/%s (ou repowarden bots), puis relancer." ;;
         ci.proteger.no_cleanup) _M="Suppression automatique des branches désactivée (elle supprimerait develop) : ajouter un workflow qui appelle nettoyage-branches.yml, sinon les branches mergées restent (voir En organisation)." ;;
         ci.proteger.no_delivery_env) _M="main exigera un déploiement « %s » réussi, mais aucun workflow ne crée ce déploiement : un déploiement que rien ne crée bloquerait main pour toujours. Appeler release-auto.yml avec delivery-environment (voir docs/releases.md, flux develop), ou deliveryApproval = review dans .repowarden.conf." ;;
         ci.proteger.stale_concurrency) _M="%s : une demande de livraison (manuelle ou planifiée) en attente bloquerait en silence les suivantes. Mettre cancel-in-progress: \${{ github.event_name != 'push' }} (une nouvelle demande remplace celle en attente) et un groupe par déclencheur : release-\${{ github.ref_name }}-\${{ github.event.schedule || github.event_name }}." ;;
@@ -391,19 +396,14 @@ _msg_fr() {
         npm.old_npm) _M="npm %s trop ancien : 11.15 au minimum (npm install -g npm@11)." ;;
         npm.step_login) _M="1/3 Compte npm" ;;
         npm.logged) _M="Connecté à npm : %s" ;;
-        npm.no_2fa) _M="Double authentification (2FA) non activée sur le compte npm : npm l'exige pour créer le jeton et configurer la publication sans jeton." ;;
+        npm.no_2fa) _M="Double authentification (2FA) non activée sur le compte npm : npm l'exige pour configurer la publication sans jeton." ;;
         npm.hint_2fa) _M="Activer : npm profile enable-2fa auth-and-writes (QR code pour une application d'authentification), ou https://www.npmjs.com/settings/%s/tfa ; puis relancer cette commande." ;;
-        npm.step_token) _M="2/3 Première publication, par la pipeline (jeton temporaire)" ;;
-        npm.token_exists) _M="Secret NPM_TOKEN déjà présent : réutilisé." ;;
-        npm.ask_password) _M="Mot de passe npm (saisie masquée, transmis à npm seulement) : " ;;
-        npm.ask_otp) _M="Code à usage unique (application d'authentification ou e-mail de npm) : " ;;
-        npm.token_failed) _M="Création du jeton npm impossible (voir ci-dessus) : rien n'a été enregistré." ;;
-        npm.token_stored) _M="Jeton temporaire (7 jours) créé et enregistré en secret NPM_TOKEN, sans affichage." ;;
-        npm.dispatched) _M="Pipeline lancée (%s) : elle publie la dernière release sur npm. Attente… (Ctrl+C : relancer la commande plus tard, elle reprendra)" ;;
-        npm.waiting) _M="La prochaine release publie %s : merge une PR (ou laisse le bot merger la PR de release). Attente… (Ctrl+C : relancer la commande plus tard, elle reprendra)" ;;
-        npm.still_waiting) _M="toujours en attente (%s min)…" ;;
-        npm.not_yet) _M="Pas encore publié : relance cette commande après la prochaine release." ;;
-        npm.first_published) _M="%s@%s publié par la pipeline." ;;
+        npm.step_first) _M="2/3 Première publication, depuis ce poste (dernière release)" ;;
+        npm.no_release) _M="Aucune release encore : rien n'est publié. Relance cette commande après la première release de %s." ;;
+        npm.would_publish) _M="[dry-run] %s@%s serait publié depuis la release %s (npm publish, dans ce terminal)" ;;
+        npm.publishing) _M="Publication de %s@%s (release %s) : npm peut demander une validation (navigateur ou code)." ;;
+        npm.publish_failed) _M="Publication de %s refusée (voir ci-dessus) : rien d'autre n'a été configuré. Relance cette commande." ;;
+        npm.first_published) _M="%s@%s publié." ;;
         npm.step_trust) _M="3/3 Publication sans jeton (publication de confiance)" ;;
         npm.trust_exists) _M="Publication de confiance déjà configurée." ;;
         npm.trust_mismatch) _M="Relation de confiance existante mais ne correspond pas aux paramètres attendus :" ;;
@@ -465,7 +465,10 @@ _msg_fr() {
         app.step_install) _M="Installation sur le dépôt" ;;
         app.installed) _M="App %s installée sur %s." ;;
         app.not_installed) _M="App %s pas encore installée sur %s : relance repowarden app init une fois installée." ;;
-        app.check_in_ci) _M="Installation vérifiée au premier run du suivi des tickets (étape « Jeton de l'App ») ; pour l'installer : %s" ;;
+        app.not_verified) _M="Installation de l'App %s sur %s non vérifiée : la clé privée n'est pas sur ce poste (seule l'App peut lister ses installations). Si elle n'est pas installée, les workflows échoueront à l'étape « Jeton de l'App ». L'installer : %s" ;;
+        app.name_taken) _M="Une GitHub App s'appelle déjà %s (souvent une App orpheline d'un essai interrompu : créée sur GitHub, identifiants jamais rangés)." ;;
+        app.name_taken_fix) _M="Au choix : relancer avec --nom <autre nom>, ou supprimer l'App orpheline (Settings → Developer settings → GitHub Apps → l'App → Advanced → Delete) : %s" ;;
+        app.name_hint) _M="Si GitHub refuse le nom %s (déjà utilisé) : Ctrl+C, puis relancer avec --nom <autre nom>, ou supprimer l'App orpheline : %s" ;;
         app.done) _M="Les workflows repowarden utilisent désormais l'App : ce qu'ils font déclenche les autres workflows." ;;
         app.next) _M="Sans l'App (variable et secret absents), ils reprennent le jeton des Actions." ;;
         app.bot_all_repos) _M="Bot d'organisation : à l'installation, choisir « All repositories » (les nouveaux dépôts seront couverts d'office ; seuls ceux avec un .repowarden.conf sont gérés)." ;;
@@ -577,6 +580,7 @@ _msg_fr() {
         tk.init_auto_create_on) _M="Création auto de ticket : ACTIVÉE (ticketAutoCreate = true)" ;;
         tk.init_auto_create_off) _M="Création auto de ticket : DÉSACTIVÉE (défaut). Pour l'activer : git config repowarden.ticketAutoCreate true" ;;
         tk.init_next) _M="Ensuite : committer ces fichiers ; exiger la vérification « ticket » (repowarden proteger --checks \"…,ticket\") ; dans release.yml, brancher le job tickets (voir la doc Tickets)." ;;
+        tk.init_next_wired) _M="Ensuite : committer ces fichiers ; exiger la vérification « ticket » (repowarden proteger --checks \"…,ticket\"). Le job tickets de release.yml est déjà branché." ;;
         tk.prerelease) _M="Disponible en préversion **%s** : à tester avant la production." ;;
         tk.released) _M="Publié dans **%s**." ;;
         # Ticket comment

package/hooks/lib/tickets.sh

@@ -63,8 +63,10 @@ ticket_branch_r() {
 # REPLY = titre de PR d'un ticket : $1 type (« feat » par défaut), $2 titre du
 # ticket → « feat(portée): sujet ». Portée = préfixe du titre avant le premier
 # « : » (« Tickets : … » → « tickets »), 20 caractères au plus, omise si vide ;
-# sujet = le reste, première lettre abaissée. 72 caractères au plus, coupé sur
-# un mot entier. Vide si le titre ne donne rien (l'appelant décide du repli).
+# sujet = le reste, première lettre abaissée sauf sur un sigle (README, IA :
+# initiale suivie d'une majuscule). 72 caractères au plus, coupé à la dernière
+# espace, jamais dans un mot. Vide si le titre ne donne rien (l'appelant décide
+# du repli).
 ticket_pr_title_r() {
     local type="${1:-feat}" titre="$2" portee sujet tete res
     sujet="$titre"
@@ -75,15 +77,17 @@ ticket_pr_title_r() {
         [ "${#portee}" -le 20 ] || portee=""
         sujet="${BASH_REMATCH[2]}"
     fi
-    sujet="$(printf '%s' "${sujet:0:1}" | LC_ALL=C tr '[:upper:]' '[:lower:]')${sujet:1}"
+    [[ "${sujet:1:1}" == [[:upper:]] ]] ||
+        sujet="$(printf '%s' "${sujet:0:1}" | LC_ALL=C tr '[:upper:]' '[:lower:]')${sujet:1}"
     tete="$type${portee:+($portee)}: "
     REPLY=""
     [ -n "$sujet" ] || return 0
     res="$tete$sujet"
-    # 72 caractères au plus, coupé sur un mot entier (authored_length → REPLY)
+    # 72 caractères au plus, coupé sur un mot entier (authored_length → REPLY) ;
+    # un mot seul trop long n'est pas tronqué : titre vide
     authored_length "$res"
     while [ "$REPLY" -gt 72 ] && [ -n "$sujet" ]; do
-        if [[ "$sujet" == *" "* ]]; then sujet="${sujet% *}"; else sujet="${sujet%?}"; fi
+        if [[ "$sujet" == *" "* ]]; then sujet="${sujet% *}"; else sujet=""; fi
         res="$tete$sujet"
         authored_length "$res"
     done

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.8.3",
+  "version": "4.9.0-next.6",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",