docs: aligner la documentation et la matrice sur le code en service (D-1)

[PhilippeVienne]

Objet

Constat D-1 de l'audit du 2026-09-25 (EN 319 401 REQ-6.1-*) : la documentation et la matrice revendiquaient des mécanismes absents. Tranche a du découpage D validé (a : D-1 docs → b : D-3 versions, identifiants, 10 clauses → c : D-2 « en service »). Base dev, indépendante.

Tout a été vérifié sur dev avant d'écrire : aucun binaire n'appelle oe-crosstsa ni oe-replicate, aucun ne scelle (log.sealed), et OPENEIDAS_AUDIT_SEAL_INTERVAL / CROSS_TSA_URLS / AUDIT_REPLICA_* sont lues sans être exploitées ; le journal de la TSA est bien écrit avant la signature (J-2, déjà sur dev), mais consigne la série du certificat TSU, pas celle du jeton (J-3, PR #52).

• Matrice (oe_conformance::system_matrix(), CONFORMITE-ETSI.md régénéré) : EN 319 401 §7.11 → écart (cible J-1) ; §7.10 → écart (conservation contrôlée côté CA seulement). Décompte : 22 couvertes, 4 écarts, 2 hors périmètre (contre 24/2/2). Les clauses erronées de ces lignes restent pour la tranche b.
• ARCHITECTURE.md §7/§8 : ce que le journal consigne réellement, l'écart J-3 en cours, la limite du chaînage sans clé, scellement/contreseing/réplication décrits comme non câblés.
• README : plus de contreseing FreeTSA/DigiCert revendiqué, plus d'interface https://localhost:8443/webui/ (reste d'OpenXPKI).
• CA.md (modèle de menace, continuité), API.md, docker-compose.yml, values.yaml : variables marquées « lues mais pas encore exploitées ».
• oe-tsa-core : l'en-tête disait CheckTSUCertificate non portée ; elle l'est.

Limites

• docs/WEBUI.md (document de conception, au futur) n'est pas touché ; docs/CPS.md B.3 disait déjà la vérité.
• Les lignes de matrice des correctifs encore en PR (J-3, T-1, T-3, O-1, C-1, R-1/R-2) arrivent avec la tranche b, en « écart, cible PR #NN » (décision de l'utilisateur).

Vérifications

• make conformance-doc (document régénéré, pas édité à la main) ; cargo fmt --check, cargo clippy --workspace --all-targets -- -D warnings (1.97 et 1.98.1), cargo test --workspace avec PostgreSQL, cargo audit --ignore RUSTSEC-2023-0071, make helm-lint : verts.

Revue humaine obligatoire

Voir PROVENANCE.md. Chaque case est cochée par le
contributeur humain qui valide la PR, après l'avoir fait lui-même.

• Revue d'architecture validée par l'humain
• Code relu et tests unitaires/intégration vérifiés localement
• Absence de dépendances tierces incompatibles avec la double licence EUPL-1.2 / AGPL-3.0 (make licenses)
• Validation de l'apport intellectuel et de la paternité humaine sur la modification

Assistance par IA

• Cette PR a été produite avec l'assistance de Claude Code : les commits concernés portent la remorque Co-authored-by: Claude <noreply@anthropic.com>, auteur et committer restent humains, et scripts/provenance.py archive a été lancé
• Cette PR a été écrite sans assistance par IA