docs(conformance): versions de normes, identifiants d'exigence et clauses vérifiées (D-3)

[PhilippeVienne]

Objet

Constat D-3 de l'audit du 2026-09-25, tranche b du découpage D validé (a : #60 → b : cette PR → c : D-2). Empilée sur #60 (docs/align-docs-with-code, tête 1eb46c1 à l'ouverture) : merger #60 d'abord, puis git rebase --onto origin/dev 1eb46c1 et rebrancher sur dev.

Sources relues : chaque clause et identifiant a été vérifié dans le texte officiel, dernière version publiée sur etsi.org — EN 319 401 V3.2.1 (2026-01), EN 319 411-1 V1.5.1 (2025-04), EN 319 421 V1.3.1 (2025-07), EN 319 422 V1.1.1 (2016-03), TS 119 312 V2.1.1 (2026-06), EN 319 403-1 V2.3.1 (2020-06). Le tableau de l'audit est confirmé ; quatre renvois qu'il n'avait pas relus sont aussi faux et corrigés :

• EN 319 412-1 §4 et §4.1 ne portent ni « structures communes du profil » ni le numéro de série → 411-1 §6.6.1 GEN-6.6.1-02 et §6.3.3 GEN-6.3.3-02A (412-1 sort de la matrice) ;
• TS 119 312 V2.1.1 a renuméroté : longueur de clé §6.2 → §8.4 (RSA ≥ 3000 bits, le code impose 3072), suites §6.1 → §7.3 ; hachage §5.1 inchangé.

Changements

• Requirement gagne version et ids. validate() échoue si : version absente pour une norme ETSI ; aucun identifiant pour 401/411-1/421 (seules à en numéroter) ; un identifiant ne relève pas de la clause citée (le garde-fou qui aurait évité les 10 erreurs) ; une norme citée en deux versions.
• Règle d'honnêteté : une ligne dont un identifiant est visé par une NC ouverte de l'audit n'est plus « couverte » (H-1 sur TIS-7.6.2-03, R-3 sur REG-6.3.2-01, R-2 sur REG-6.3.2-00B, J-1 sur REQ-7.10-02/-08, T-1 sur 422 §5.2.2). Les observations ne déclassent pas.
• Nouvelles lignes en écart, cible = PR ouverte ou constat (décision de l'utilisateur) : ARL CSS-6.3.9-12/-13, CSS-6.3.10-01 (C-1, feat(ca): révocation de l'autorité émettrice et ARL de la racine (C-1) #56) ; OVR-6.6.3-02 (O-1, fix(oe-castore,oe-ca-core,oe-ocsp-core): unknown pour un certificat jamais émis #55) ; GEN-6.5.5-04, CSS-6.5.5-06 (R-1/R-2, fix(helm): approbation RA automatique désactivée par défaut (R-2) #57 à feat(ca-server): revue a posteriori des décisions de la voie de secours (R-1) #59) ; TIS-7.7.1-05/-06, TIS-7.7.2-03 (T-1, fix(oe-rfc3161-asn1,oe-tsa-core,oe-config): genTime porte sa fraction de seconde #53) ; TIS-7.6.7-*, TIS-7.7.1-09 (T-3, fix(oe-ca-core,oe-conformance,oe-tsa-core): expiration de la clé TSU, contrôlée à chaque signature #54) ; OVR-7.13-05 (J-3, fix(oe-tsa-core,tsa-server): le journal trace le jeton émis, pas le certificat #52) ; TIS-7.7.2-04/-05 (T-2) ; TIS-7.7.2-07..09 (T-4). Chaque PR concernée repasse sa ligne en « couvert » au rebase.
• Résultat : 36 exigences — 17 couvertes, 17 écarts, 2 hors périmètre (contre 22/4/2 après docs: aligner la documentation et la matrice sur le code en service (D-1) #60).
• Rendu : version dans le titre de section, identifiants dans la colonne Clause ; /api/v1/conformance expose version et identifiants.
• Renvois de clauses corrigés dans les commentaires et la doc. migrations/0001_schema.sql n'est pas touchée (commentaire « §6.2.1 ») : sqlx contrôle la somme des migrations appliquées.
• La ligne EN 319 422 §5.2 ne prétend plus que « le jeton est relu avant d'être consigné » (faux tant que fix(oe-tsa-core,tsa-server): le journal trace le jeton émis, pas le certificat #52 n'est pas mergée).

Vérifications

• make conformance-doc (régénéré, jamais édité à la main) ; cargo fmt --check, cargo clippy --workspace --all-targets -- -D warnings (1.97 et 1.98.1), cargo test --workspace avec PostgreSQL, cargo audit --ignore RUSTSEC-2023-0071 : verts.
• Nouveau test detects_missing_versions_ids_and_mismatched_clauses ; mutation des 4 nouveaux contrôles de validate() : tous tués.

Revue humaine obligatoire

Voir PROVENANCE.md. Chaque case est cochée par le
contributeur humain qui valide la PR, après l'avoir fait lui-même.

• Revue d'architecture validée par l'humain
• Code relu et tests unitaires/intégration vérifiés localement
• Absence de dépendances tierces incompatibles avec la double licence EUPL-1.2 / AGPL-3.0 (make licenses)
• Validation de l'apport intellectuel et de la paternité humaine sur la modification

Assistance par IA

• Cette PR a été produite avec l'assistance de Claude Code : les commits concernés portent la remorque Co-authored-by: Claude <noreply@anthropic.com>, auteur et committer restent humains, et scripts/provenance.py archive a été lancé
• Cette PR a été écrite sans assistance par IA

[PhilippeVienne]

Remplacée par #75 (base dev) : GitHub a fermé cette PR à la suppression de sa branche de base après la fusion de #60, et refuse de rebrancher une PR d'une pile.