repowarden 4.9.0 → 4.9.1

package/bin/bots

@@ -71,6 +71,13 @@ demander() {
 }
 
 brand "bots · $REPO"
+# Dépôt privé d'une offre gratuite : ni protection, ni rulesets, ni merge
+# automatique ; dit avant toute question, pour décider en connaissance de cause
+SANS_RULESETS=""
+if github_sans_rulesets "$REPO"; then
+    SANS_RULESETS=1
+    attention_t bots.plan_limited "$REPO"
+fi
 demander bots.ask_global n || { info_t bots.later; exit 0; }
 
 # --- Flux ------------------------------------------------------------------
@@ -125,6 +132,11 @@ done
 choisi() { [[ " ${BOTS[*]+"${BOTS[*]}"} " == *" $1 "* ]]; }
 AVEC_APP=""
 { [ -n "$APP_PRESENTE" ] || choisi app; } && AVEC_APP=1
+# Livraison approuvée par l'environnement (« Approve and deploy ») : avec
+# l'App, sauf sur un dépôt sans rulesets (ni règle de déploiement exigée, ni
+# environnement avec approbation sur un dépôt privé gratuit) : revue de sa PR
+LIVRAISON_ENV=""
+[ -z "$AVEC_APP" ] || [ -n "$SANS_RULESETS" ] || LIVRAISON_ENV=1
 
 # --- Livraison (flux develop, releases) : mode, rythme, préversion -----------
 # Défauts : le release.yml d'aujourd'hui (approbation, regroupé, préversion
@@ -133,7 +145,10 @@ LIVRAISON_AUTO="" A_CHAQUE_TICKET="" PREVERSION_OBLIGATOIRE=1
 if [ "$FLUX" = develop ] && choisi release; then
     echo >&2
     dim_t bots.desc_delivery
-    if demander bots.ask_delivery_auto n; then
+    if [ -n "$SANS_RULESETS" ]; then
+        # Livraison automatique = merge automatique, ignoré par GitHub ici
+        info_t bots.no_delivery_auto
+    elif demander bots.ask_delivery_auto n; then
         LIVRAISON_AUTO=1
         # Le merge automatique passe par la GitHub App (jeton des Actions : pas de release)
         [ -n "$AVEC_APP" ] || attention_t bots.auto_no_app
@@ -369,7 +384,7 @@ YAML
             echo "      preversion-obligatoire: false # version stable possible sans préversion"
         if [ -n "$LIVRAISON_AUTO" ]; then
             echo "      delivery-auto: true # la GitHub App merge la livraison, vérifications vertes"
-        elif [ -n "$AVEC_APP" ]; then
+        elif [ -n "$LIVRAISON_ENV" ]; then
             echo "      delivery-environment: production # « Approve and deploy » valide la livraison"
         fi
         if [ -n "$AVEC_APP" ]; then
@@ -479,7 +494,7 @@ if [ "$FLUX" = develop ]; then
     info_t bots.prev_conf "$INTEGRATION"
     if [ -n "$LIVRAISON_AUTO" ]; then
         info_t bots.prev_conf_auto
-    elif [ -z "$AVEC_APP" ]; then
+    elif [ -z "$LIVRAISON_ENV" ]; then
         info_t bots.prev_review
     fi
 fi
@@ -545,7 +560,7 @@ if [ "$FLUX" = develop ]; then
         # Choix explicite : remplace une approbation déjà réglée
         [ "$(git config -f "$conf" --get repowarden.deliveryApproval || true)" = auto ] ||
             git config -f "$conf" repowarden.deliveryApproval auto
-    elif [ -z "$AVEC_APP" ]; then
+    elif [ -z "$LIVRAISON_ENV" ]; then
         git config -f "$conf" --get repowarden.deliveryApproval >/dev/null ||
             git config -f "$conf" repowarden.deliveryApproval review
     fi

package/bin/npm-publication

@@ -46,7 +46,14 @@ if ! node -e 'const [a,b]=process.argv[1].split(".").map(Number);process.exit(a>
 fi
 cd "$GIT_TOPLEVEL"
 [ -f package.json ] || { err_t npm.no_package; exit 1; }
-[ -n "$REPO" ] || REPO="$(gh repo view --json nameWithOwner -q .nameWithOwner)"
+if [ -z "$REPO" ]; then
+    REPO="$(gh repo view --json nameWithOwner -q .nameWithOwner)"
+else
+    # Dépôt vérifié avant toute action : une faute de frappe (« own/nom, »)
+    # serait sinon prise plus loin pour un dépôt sans release
+    [[ "$REPO" =~ ^[A-Za-z0-9._-]+/[A-Za-z0-9._-]+$ ]] || { err_t npm.bad_repo "$REPO"; exit 1; }
+    gh repo view "$REPO" --json nameWithOwner >/dev/null || { err_t npm.repo_unreachable "$REPO"; exit 1; }
+fi
 name="$(node -p 'require("./package.json").name')"
 # Préfixe des jetons temporaires de l'ancien parcours, révoqués à la fin
 TOKEN_PREFIX="repowarden-ci-${REPO##*/}"
@@ -133,8 +140,17 @@ publie() { [ -n "$(npm view "$name" name 2>/dev/null || true)" ]; }
 # créé ni stocké, aucun mot de passe saisi par repowarden
 if ! publie; then
     step_t npm.step_first
-    tag="$(gh release view --repo "$REPO" --json tagName -q .tagName 2>/dev/null || true)"
+    # Seul « release not found » signifie « aucune release » ; toute autre
+    # erreur de gh (réseau, droits) est rapportée telle quelle
+    gh_err="$(mktemp "${TMPDIR:-/tmp}/repowarden-gh.XXXXXX")"
+    tag="$(gh release view --repo "$REPO" --json tagName -q .tagName 2>"$gh_err")" || tag=""
+    msg="$(cat "$gh_err")"
+    rm -f "$gh_err"
     if [ -z "$tag" ]; then
+        if [ -n "$msg" ] && ! grep -qi 'release not found' <<<"$msg"; then
+            err_t npm.release_error "$REPO" "$msg"
+            exit 1
+        fi
         attention_t npm.no_release "$name"
         exit 0
     fi

package/bin/proteger

@@ -404,9 +404,7 @@ erreur_github() {
 # en 403) : les réglages du dépôt restent appliqués, les rulesets sautés avec
 # un message clair au lieu d'un arrêt sans explication
 RULESETS_OK=1
-if ! reponse="$(gh api "repos/$REPO/rulesets" 2>&1)" && [[ "$reponse" == *"403"* ]]; then
-    RULESETS_OK=""
-fi
+! github_sans_rulesets "$REPO" || RULESETS_OK=""
 ANCIENS=""
 [ -z "$RULESETS_OK" ] || anciens_rulesets
 
@@ -459,7 +457,11 @@ if [ -n "$integration" ] && ! gh api "repos/$REPO/labels/urgent" --silent 2>/dev
 fi
 
 if [ -n "$DRY_RUN" ]; then
-    [ -n "$RULESETS_OK" ] || attention_t ci.proteger.rulesets_unavailable "$REPO"
+    if [ -z "$RULESETS_OK" ]; then
+        attention_t ci.proteger.rulesets_unavailable "$REPO"
+        # Même offre : merge automatique ignoré par GitHub (PATCH accepté)
+        [ "$auto_merge" = false ] || attention_t ci.proteger.automerge_unavailable
+    fi
     printf '%s\n' "${rulesets[@]}"
     [ -z "$env_json" ] || printf '%s\n' "$env_json"
     exit 0
@@ -472,15 +474,42 @@ if [ -z "$RULESETS_OK" ] && [ -n "$integration" ]; then
     squash=false
     attention_t ci.proteger.no_squash
 fi
+echecs=0
+# Appel de l'API dont le refus n'arrête pas le reste : $1 clé i18n de ce qui
+# est réglé, puis la commande ; refus affiché avec le détail de GitHub (sans
+# --silent, gh garde la réponse) et compté comme échec
+appliquer() {
+    local quoi="$1" reponse detail
+    shift
+    reponse="$("$@" 2>&1)" && return 0
+    erreur_github "$reponse"
+    detail="$REPLY"
+    t "$quoi"
+    err_t ci.proteger.settings_error "$REPLY" "$detail"
+    echecs=$((echecs + 1))
+    return 1
+}
 settings=(-F allow_squash_merge="$squash" -F allow_merge_commit="$merge_commit" -F allow_rebase_merge=false
-    -F delete_branch_on_merge="$delete_on_merge" -F allow_auto_merge="$auto_merge"
-    -f squash_merge_commit_title=PR_TITLE -f squash_merge_commit_message=PR_BODY)
+    -F delete_branch_on_merge="$delete_on_merge" -F allow_auto_merge="$auto_merge")
+# Titre et corps du squash seulement si le squash est autorisé : envoyés avec
+# allow_squash_merge=false (dépôt sans rulesets, flux develop), GitHub refuse
+# tout le PATCH en 422 « Validation Failed »
+[ "$squash" = false ] || settings+=(-f squash_merge_commit_title=PR_TITLE -f squash_merge_commit_message=PR_BODY)
 [ -z "$integration" ] || settings+=(-f default_branch="$integration")
-gh api -X PATCH "repos/$REPO" --silent "${settings[@]}"
-gh api -X PUT "repos/$REPO/actions/permissions/workflow" --silent \
-    -f default_workflow_permissions=read -F can_approve_pull_request_reviews=true
+if appliquer ci.proteger.what_repo gh api -X PATCH "repos/$REPO" "${settings[@]}" &&
+    [ "$auto_merge" = true ] &&
+    [ "$(gh api "repos/$REPO" --jq .allow_auto_merge 2>/dev/null || true)" != true ]; then
+    # Merge automatique demandé mais resté désactivé : GitHub l'ignore sans
+    # erreur (dépôt privé d'une offre gratuite)
+    attention_t ci.proteger.automerge_ignored "$REPO"
+    if [ -n "$integration" ] && [ "$DELIVERY" = auto ]; then
+        err_t ci.proteger.automerge_delivery
+        echecs=$((echecs + 1))
+    fi
+fi
+appliquer ci.proteger.what_workflow gh api -X PUT "repos/$REPO/actions/permissions/workflow" \
+    -f default_workflow_permissions=read -F can_approve_pull_request_reviews=true || true
 
-echecs=0
 [ -n "$RULESETS_OK" ] || { attention_t ci.proteger.rulesets_unavailable "$REPO"; rulesets=(); }
 for ruleset in ${rulesets[@]+"${rulesets[@]}"}; do
     name="$(sed -n 's/^  "name": "\(.*\)",$/\1/p' <<<"$ruleset")"
@@ -535,7 +564,9 @@ while IFS=$'\t' read -r id name _; do
     echecs=$((echecs + 1))
 done <<<"$ANCIENS"
 if [ -n "$env_json" ]; then
-    gh api -X PUT "repos/$REPO/environments/$ENVIRONMENT" --input - --silent <<<"$env_json"
+    appliquer ci.proteger.what_environment gh api -X PUT "repos/$REPO/environments/$ENVIRONMENT" --input - <<<"$env_json" || env_json=""
+fi
+if [ -n "$env_json" ]; then
     policies="$(gh api "repos/$REPO/environments/$ENVIRONMENT/deployment-branch-policies" \
         --jq '.branch_policies[] | "\(.type):\(.name)"')"
     for policy in $(for b in $existing; do echo "branch:$b"; done) "tag:v*"; do

package/bin/tickets

@@ -2,7 +2,7 @@
 # Prépare le suivi des tickets d'un dépôt GitHub (relançable sans risque) :
 #   repowarden tickets init [--repo propriétaire/nom] [--sans-validation-auto]
 #   repowarden tickets sync   branches locales des tickets qui me sont assignés
-#                             (aussi automatique : réglage ticketSync = auto|manual|off)
+#                             (automatique si réglage ticketSync = auto ; défaut manual)
 #   - étiquettes : « validé », les statuts (à valider, backlog, en cours,
 #     en relecture, préprod, done) et les types (type: feat, type: fix…), qui
 #     donnent le préfixe de la branche du ticket ;

package/ci/tickets/commun.sh

@@ -24,11 +24,30 @@ pr_tickets_r() {
     REPLY="${found# }"
 }
 
-# Statut $2 sur le ticket $1 : remplace les autres étiquettes « statut: »
+# Rang d'un statut dans le cycle (REPLY) : à valider 0 … done 5, -1 sinon
+rang_statut_r() {
+    case "$1" in
+        "$S_AVALIDER") REPLY=0 ;; "$S_BACKLOG") REPLY=1 ;; "$S_ENCOURS") REPLY=2 ;;
+        "$S_RELECTURE") REPLY=3 ;; "$S_PREPROD") REPLY=4 ;; "$S_DONE") REPLY=5 ;;
+        *) REPLY=-1 ;;
+    esac
+}
+
+# Statut $2 sur le ticket $1 : remplace les autres étiquettes « statut: ».
+# Monotone pour un travail livré : un ticket en préprod ou done ne recule
+# jamais (événement en retard, branche réapparue, réassignation…), signalé.
 statut() {
-    local n="$1" s="$2" l retirer=()
+    local n="$1" s="$2" l retirer=() cible
+    rang_statut_r "$s"
+    cible="$REPLY"
     while IFS= read -r l; do
-        [[ "$l" == "statut: "* && "$l" != "$s" ]] && retirer+=(--remove-label "$l")
+        [[ "$l" == "statut: "* && "$l" != "$s" ]] || continue
+        rang_statut_r "$l"
+        if [ "$REPLY" -ge 4 ] && [ "$REPLY" -gt "$cible" ]; then
+            notice_t tk.status_kept "$n" "${l#statut: }" "${s#statut: }"
+            return 0
+        fi
+        retirer+=(--remove-label "$l")
     done < <(gh issue view "$n" --json labels -q '.labels[].name' 2>/dev/null || true)
     # ${a[@]+…} : tableau vide accepté sous set -u par le bash 3.2 de macOS
     gh issue edit "$n" --add-label "$s" ${retirer[@]+"${retirer[@]}"} >/dev/null

package/ci/tickets/pr.sh

@@ -54,6 +54,9 @@ cmd_pr() {
         done
         return 0
     fi
+    # PR déjà mergée, événement en retard (edited, synchronize…) : le ticket est
+    # livré, ni statut, ni vérification, ni merge automatique
+    [ "${MERGED:-false}" != true ] || return 0
 
     # Aucun ticket : si auto-create activé, créé à partir de la PR, à valider,
     # et relié à la PR ; sinon, échec de la vérification avec la marche à suivre.

package/hooks/lib/forge.sh

@@ -37,3 +37,11 @@ forge_init() {
 }
 
 forge_init
+
+# Dépôt GitHub $1 sans rulesets ni protection de branches (dépôt privé d'une
+# offre gratuite : GitHub les refuse en 403, « Upgrade to GitHub Pro or make
+# this repository public ») ; le merge automatique y est aussi ignoré
+github_sans_rulesets() {
+    local reponse
+    ! reponse="$(gh api "repos/$1/rulesets" 2>&1)" && [[ "$reponse" == *"403"* ]]
+}

package/hooks/lib/i18n/en.sh

@@ -341,6 +341,13 @@ _msg_en() {
         ci.proteger.incomplete) _M="Incomplete protection: see the errors above." ;;
         ci.proteger.rulesets_unavailable) _M="Rulesets unavailable for %s: GitHub refuses them on a private repository of a free account. Make the repository public, or move to GitHub Pro / Team; the other settings are applied." ;;
         ci.proteger.no_squash) _M="Without rulesets, the merge method cannot be enforced per branch: squash disabled (merge commit only), otherwise a squashed delivery would break the main branch history." ;;
+        ci.proteger.automerge_unavailable) _M="Auto-merge unavailable on this repository (GitHub ignores it on a private repository of a free account): work PRs and deliveries are merged by hand; automatic delivery impossible." ;;
+        ci.proteger.automerge_ignored) _M="Auto-merge requested but still disabled on %s: GitHub ignores it without an error (private repository of a free account). Work PRs and deliveries are merged by hand. Make the repository public, or move to GitHub Pro / Team, then run repowarden proteger again." ;;
+        ci.proteger.automerge_delivery) _M="deliveryApproval = auto cannot work without auto-merge: the delivery PR will not merge by itself." ;;
+        ci.proteger.settings_error) _M="%s: rejected by GitHub: %s" ;;
+        ci.proteger.what_repo) _M="Repository settings (merge methods, default branch)" ;;
+        ci.proteger.what_workflow) _M="Workflow permissions" ;;
+        ci.proteger.what_environment) _M="Deployment environment" ;;
         ci.proteger.tags_fallback) _M="Tags ruleset: \"GitHub Actions\" bypass refused in this organization; tags protected as on a personal account (not moved or deleted, creation allowed)." ;;
         ci.version.usage) _M="Usage: ci/version.sh next|notes|notes-livraison [ref]" ;;
         ci.version.breaking) _M="Breaking changes" ;;
@@ -393,6 +400,8 @@ _msg_en() {
         npm.npx_global) _M="npx uses a temporary folder: global hooks would point to a deleted folder. Install the package first: npm install -g repowarden, then repowarden install --global." ;;
         npm.no_npm) _M="npm required: https://nodejs.org" ;;
         npm.no_package) _M="No package.json at the repository root." ;;
+        npm.bad_repo) _M="Invalid repository: \"%s\". Expected form: owner/name (e.g. simdevWarden/repowarden). Nothing was done." ;;
+        npm.repo_unreachable) _M="Repository %s not found or not accessible with gh (see above): nothing was done." ;;
         npm.old_npm) _M="npm %s is too old: 11.15 or later required (npm install -g npm@11)." ;;
         npm.step_login) _M="1/3 npm account" ;;
         npm.logged) _M="Logged in to npm: %s" ;;
@@ -400,6 +409,7 @@ _msg_en() {
         npm.hint_2fa) _M="Enable it: npm profile enable-2fa auth-and-writes (QR code for an authenticator app), or https://www.npmjs.com/settings/%s/tfa; then run this command again." ;;
         npm.step_first) _M="2/3 First publication, from this machine (latest release)" ;;
         npm.no_release) _M="No release yet: nothing is published. Run this command again after the first release of %s." ;;
+        npm.release_error) _M="Cannot read the releases of %s: %s. Nothing is published or configured; run this command again." ;;
         npm.would_publish) _M="[dry-run] %s@%s would be published from release %s (npm publish, in this terminal)" ;;
         npm.publishing) _M="Publishing %s@%s (release %s): npm may ask for a validation (browser or code)." ;;
         npm.publish_failed) _M="Publication of %s refused (see above): nothing else was configured. Run this command again." ;;
@@ -446,6 +456,7 @@ _msg_en() {
         tk.waiting) _M="Ticket %s awaiting validation: a maintainer adds the \"%s\" label to the ticket." ;;
         tk.ok) _M="Ticket %s validated." ;;
         tk.merged) _M="Merged by PR #%s into %s: in pre-production, available in the next pre-release." ;;
+        tk.status_kept) _M="Ticket #%s kept in %s: delivered work does not go back to %s." ;;
         tk.branch_created) _M="Ticket validated: its branch \`%s\` is created from \`%s\`.\n\nTo work on it:\n\n\`\`\`bash\nrepowarden ticket %s\n\`\`\`\n\n(or \`git fetch && git switch %s\`). The first push opens the draft PR." ;;
         tk.branch_notice) _M="Branch %s created for ticket #%s" ;;
         tk.multi) _M="PR linked to several tickets (%s): one PR = one ticket, split it." ;;
@@ -533,6 +544,8 @@ _msg_en() {
         bots.ask_npm) _M="npm publishing?" ;;
         bots.desc_delivery) _M="develop → main delivery: automatic (the GitHub App merges the delivery PR as soon as the checks are green; human validation is the merge of each ticket) or human approval (default)" ;;
         bots.ask_delivery_auto) _M="Automatic delivery? (no: human approval)" ;;
+        bots.plan_limited) _M="%s is a private repository on a free plan: GitHub offers neither branch protection, rulesets nor auto-merge there. So these will not work: required PRs and checks, work PRs merging by themselves, automatic delivery (PRs will be merged by hand). To get everything: make the repository public, or move to GitHub Pro / Team, then run repowarden bots again." ;;
+        bots.no_delivery_auto) _M="Automatic delivery not offered (no auto-merge on this repository): the delivery PR will be merged by hand." ;;
         bots.auto_no_app) _M="Automatic delivery without a GitHub App: the automatic merge requires the App (repowarden app init); without it, the delivery PR has to be merged by hand." ;;
         bots.desc_rythme) _M="Pace: on every ticket (prerelease and delivery request on every merge) or grouped (default: evening prerelease, Friday delivery window)" ;;
         bots.ask_each_ticket) _M="On every ticket? (no: grouped)" ;;
@@ -540,7 +553,7 @@ _msg_en() {
         bots.preview) _M="Preview" ;;
         bots.prev_develop) _M="branch %s created on GitHub from %s" ;;
         bots.prev_conf) _M=".repowarden.conf: integrationBranch = %s, protected branches" ;;
-        bots.prev_review) _M=".repowarden.conf: delivery approved by reviewing its PR (no GitHub App)" ;;
+        bots.prev_review) _M=".repowarden.conf: delivery approved by reviewing its PR (no GitHub App or approval environment)" ;;
         bots.prev_conf_auto) _M=".repowarden.conf: deliveryApproval = auto (automatic delivery)" ;;
         bots.prev_delivery_auto) _M="release.yml: automatic delivery (delivery-auto), the GitHub App merges the delivery PR as soon as the checks are green" ;;
         bots.prev_delivery_approval) _M="release.yml: delivery approved by a person" ;;

package/hooks/lib/i18n/fr.sh

@@ -341,6 +341,13 @@ _msg_fr() {
         ci.proteger.incomplete) _M="Protection incomplète : voir les erreurs ci-dessus." ;;
         ci.proteger.rulesets_unavailable) _M="Rulesets indisponibles pour %s : GitHub les refuse sur un dépôt privé d'un compte gratuit. Rendre le dépôt public, ou passer à GitHub Pro / Team ; les autres réglages sont appliqués." ;;
         ci.proteger.no_squash) _M="Sans rulesets, le mode de merge ne peut pas être imposé par branche : squash désactivé (merge commit seul), sinon une livraison squashée casserait l'historique de la branche principale." ;;
+        ci.proteger.automerge_unavailable) _M="Merge automatique indisponible sur ce dépôt (GitHub l'ignore sur un dépôt privé d'un compte gratuit) : PR de travail et livraison à merger à la main ; livraison automatique impossible." ;;
+        ci.proteger.automerge_ignored) _M="Merge automatique demandé mais resté désactivé sur %s : GitHub l'ignore sans erreur (dépôt privé d'un compte gratuit). PR de travail et livraison à merger à la main. Rendre le dépôt public, ou passer à GitHub Pro / Team, puis relancer repowarden proteger." ;;
+        ci.proteger.automerge_delivery) _M="deliveryApproval = auto ne peut pas fonctionner sans merge automatique : la PR de livraison ne se mergera pas seule." ;;
+        ci.proteger.settings_error) _M="%s : refusé par GitHub : %s" ;;
+        ci.proteger.what_repo) _M="Réglages du dépôt (modes de merge, branche par défaut)" ;;
+        ci.proteger.what_workflow) _M="Permissions des workflows" ;;
+        ci.proteger.what_environment) _M="Environnement de déploiement" ;;
         ci.proteger.tags_fallback) _M="Ruleset des tags : exception « GitHub Actions » refusée dans cette organisation ; tags protégés comme sur un compte personnel (ni déplacés ni supprimés, création libre)." ;;
         ci.version.usage) _M="Usage : ci/version.sh next|notes|notes-livraison [ref]" ;;
         ci.version.breaking) _M="Changements incompatibles" ;;
@@ -393,6 +400,8 @@ _msg_fr() {
         npm.npx_global) _M="npx utilise un dossier temporaire : des hooks globaux pointeraient vers un dossier effacé. Installe d'abord le paquet : npm install -g repowarden, puis repowarden install --global." ;;
         npm.no_npm) _M="npm requis : https://nodejs.org" ;;
         npm.no_package) _M="Aucun package.json à la racine du dépôt." ;;
+        npm.bad_repo) _M="Dépôt invalide : « %s ». Forme attendue : propriétaire/nom (ex. simdevWarden/repowarden). Rien n'a été fait." ;;
+        npm.repo_unreachable) _M="Dépôt %s introuvable ou inaccessible avec gh (voir ci-dessus) : rien n'a été fait." ;;
         npm.old_npm) _M="npm %s trop ancien : 11.15 au minimum (npm install -g npm@11)." ;;
         npm.step_login) _M="1/3 Compte npm" ;;
         npm.logged) _M="Connecté à npm : %s" ;;
@@ -400,6 +409,7 @@ _msg_fr() {
         npm.hint_2fa) _M="Activer : npm profile enable-2fa auth-and-writes (QR code pour une application d'authentification), ou https://www.npmjs.com/settings/%s/tfa ; puis relancer cette commande." ;;
         npm.step_first) _M="2/3 Première publication, depuis ce poste (dernière release)" ;;
         npm.no_release) _M="Aucune release encore : rien n'est publié. Relance cette commande après la première release de %s." ;;
+        npm.release_error) _M="Lecture des releases de %s impossible : %s. Rien n'est publié ni configuré ; relance cette commande." ;;
         npm.would_publish) _M="[dry-run] %s@%s serait publié depuis la release %s (npm publish, dans ce terminal)" ;;
         npm.publishing) _M="Publication de %s@%s (release %s) : npm peut demander une validation (navigateur ou code)." ;;
         npm.publish_failed) _M="Publication de %s refusée (voir ci-dessus) : rien d'autre n'a été configuré. Relance cette commande." ;;
@@ -446,6 +456,7 @@ _msg_fr() {
         tk.waiting) _M="Ticket %s à valider : un mainteneur pose l'étiquette « %s » sur le ticket." ;;
         tk.ok) _M="Ticket %s validé." ;;
         tk.merged) _M="Mergé par la PR #%s dans %s : en préprod, disponible dans la prochaine préversion." ;;
+        tk.status_kept) _M="Ticket #%s laissé en %s : un travail livré ne repasse pas en %s." ;;
         tk.branch_created) _M="Ticket validé : sa branche \`%s\` est créée depuis \`%s\`.\n\nPour y travailler :\n\n\`\`\`bash\nrepowarden ticket %s\n\`\`\`\n\n(ou \`git fetch && git switch %s\`). Le premier push ouvre la PR en brouillon." ;;
         tk.branch_notice) _M="Branche %s créée pour le ticket #%s" ;;
         tk.multi) _M="PR liée à plusieurs tickets (%s) : une PR = un ticket, la découper." ;;
@@ -533,6 +544,8 @@ _msg_fr() {
         bots.ask_npm) _M="Publication npm ?" ;;
         bots.desc_delivery) _M="Livraison develop → main : automatique (la GitHub App merge la PR de livraison dès que les vérifications sont vertes ; la validation humaine est le merge de chaque ticket) ou approbation humaine (défaut)" ;;
         bots.ask_delivery_auto) _M="Livraison automatique ? (non : approbation humaine)" ;;
+        bots.plan_limited) _M="%s est un dépôt privé d'une offre gratuite : GitHub n'y offre ni protection de branches, ni rulesets, ni merge automatique. Ne fonctionneront donc pas : les PR et vérifications exigées, la fusion seule des PR de travail, la livraison automatique (les PR seront à merger à la main). Pour tout avoir : rendre le dépôt public, ou passer à GitHub Pro / Team, puis relancer repowarden bots." ;;
+        bots.no_delivery_auto) _M="Livraison automatique non proposée (pas de merge automatique sur ce dépôt) : la PR de livraison sera mergée à la main." ;;
         bots.auto_no_app) _M="Livraison automatique sans GitHub App : le merge automatique exige l'App (repowarden app init) ; sans elle, la PR de livraison reste à merger à la main." ;;
         bots.desc_rythme) _M="Rythme : à chaque ticket (préversion et demande de livraison à chaque merge) ou regroupé (défaut : préversion le soir, fenêtre de livraison le vendredi)" ;;
         bots.ask_each_ticket) _M="À chaque ticket ? (non : regroupé)" ;;
@@ -540,7 +553,7 @@ _msg_fr() {
         bots.preview) _M="Aperçu" ;;
         bots.prev_develop) _M="branche %s créée sur GitHub depuis %s" ;;
         bots.prev_conf) _M=".repowarden.conf : integrationBranch = %s, branches protégées" ;;
-        bots.prev_review) _M=".repowarden.conf : livraison validée par la revue de sa PR (sans GitHub App)" ;;
+        bots.prev_review) _M=".repowarden.conf : livraison validée par la revue de sa PR (ni GitHub App, ni environnement d'approbation)" ;;
         bots.prev_conf_auto) _M=".repowarden.conf : deliveryApproval = auto (livraison automatique)" ;;
         bots.prev_delivery_auto) _M="release.yml : livraison automatique (delivery-auto), la GitHub App merge la PR de livraison dès que les vérifications sont vertes" ;;
         bots.prev_delivery_approval) _M="release.yml : livraison approuvée par une personne" ;;

package/hooks/lib/tickets.sh

@@ -201,15 +201,17 @@ ticket_remote_branch_r() {
 }
 
 # Branches locales des tickets qui me sont assignés (repowarden tickets sync ;
-# hooks post-merge et post-checkout en mode auto, au plus toutes les 15 min) :
+# hooks post-merge et post-checkout seulement si ticketSync = auto est posé,
+# au plus toutes les 15 min) :
 # branche distante retrouvée, ou créée et liée au ticket (validé) ; branche
-# locale de suivi créée sans changer la branche courante. Ticket qui ne m'est
+# locale de suivi créée sans changer la branche courante (jamais pour un travail
+# livré : préprod, done, ou en relecture sans branche). Ticket qui ne m'est
 # plus assigné : signalé, sa branche locale conservée. Réglage ticketSync :
-# auto (défaut), manual (commande seulement), off. $1 = force (commande).
+# manual (défaut : commande seulement, un pull ne touche à rien), auto, off. $1 = force (commande).
 tickets_sync() {
     local force="${1:-}" stamp now last base n titre etiquettes branche b qui etat
     local miens=" "
-    cfg_r ticketSync auto
+    cfg_r ticketSync manual
     [ "$REPLY" != off ] || return 0
     if [ -z "$force" ]; then
         [ "$REPLY" = auto ] && tickets_managed && command -v gh >/dev/null || return 0
@@ -231,6 +233,8 @@ tickets_sync() {
         ticket_remote_branch_r "$n"
         branche="$REPLY"
         if [ -z "$branche" ]; then
+            # En relecture sans branche : PR mergée, branche supprimée ; jamais recréée
+            grep -qxF "$S_RELECTURE" <<<"$etiquettes" && continue
             if tickets_managed && ! grep -qxF "$VALIDE" <<<"$etiquettes"; then
                 info_t tk.sync.not_validated "$n"
                 continue

package/hooks/post-checkout

@@ -21,6 +21,8 @@ if ! skipped branch-name && ! branch_name_valid "$BRANCH"; then
 fi
 # Branche de travail sans ticket : prévenu, jamais bloqué
 ticket_hint "$BRANCH"
-# Branches locales des tickets qui me sont assignés (au plus toutes les 15 min)
-tickets_sync || true
+# Branches locales des tickets qui me sont assignés (au plus toutes les 15 min).
+# Pas au clonage (ancienne référence nulle) : un clone ne touche ni GitHub ni
+# les branches ; la synchronisation viendra au changement de branche suivant.
+[[ "${1:-}" =~ ^0+$ ]] || tickets_sync || true
 exit 0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "repowarden",
-  "version": "4.9.0",
+  "version": "4.9.1",
   "description": "Hooks git et CI multi-langages : messages de commit, nommage des branches, secrets, formatage, tests ciblés, code mort, releases.",
   "keywords": [
     "git-hooks",