decision/docs/chantiers/acte-certification/M6-brouillon.md

Brouillon — acte M6 (Propositions seed, quorum, tampon des votes, lecteur, accueil, textes du quorum)

Brouillon, pas figé. Tenu par l'intégrateur libredecision-d4. Il passe sous actes/ quand il est figé sur un sha, avec sa relecture indépendante inscrite. Orch (dev-63) l'exécute sous son mandat (« déploie » et « pousse », du 03/11 au 08/11).

Intention

Mettre en ligne la revue d'Yvv du 02/11 et ses décisions du 02/11 et du 03/11 :

• H : l'accueil sous la voûte (fusionné, a3c0a76) ;
• S : les Propositions seed, la publication suspendue sans texte en vigueur, le quorum par cran, la licence AGPL-3.0-or-later (fusionné, 349c8ed) ;
• V : le tampon des votes, le vote simulé partout tant que la chaîne est fermée (à fusionner) ;
• T : les articles du seed qui décrivent le quorum (à faire) ;
• U : le lecteur, la ligne « N oui pour passer · N non bloquent », le réglage du quorum (à faire).

Décisions d'Yvv que l'acte applique (registre)

• Propositions seed au cran 2 ; aucun article en vigueur au départ (02/11).
• Quorum par cran 12 · 12 · 50 · 50 · 50 dans Monnaie libre, 1 à l'essai ; l'auteur le change avant le premier vote (02/11) ; sous le quorum, les votants manquants comptent comme « non » (03/11).
• Un vote simulé compte, puis s'efface à l'ouverture de la chaîne par un acte « supprime » (02/11).
• Q11 (03/11, « Pas avant des votes prouvés ») : un texte entré en vigueur par des votes simulés est en vigueur sur le site, mais ne se publie pas ; la publication attend un texte passé par les seuls votes prouvés. Dans Monnaie libre, rien n'est publié avant l'ouverture de la chaîne.
• Q12 (03/11, « Oui, retire-les ») : retirer les deux propositions d'inertie d'Yvv du 29/10, I1 → 5 et E1 → 5, avant que le nouveau serveur démarre (étape 0 ci-dessous).

Étape 0 — avant la poussée : retirer I1 → 5 et E1 → 5 sur la production actuelle

Pourquoi avant : l'amendement des Propositions seed (seed_proposal_amend.rs) tourne au démarrage et n'est décidé qu'une fois par document (l. 319-334, une ligne dans seed_proposal_amendments). Si une proposition d'inertie d'un membre est encore ouverte, il refuse le cran (inertia_proposal) pour de bon : I1 resterait au cran 3 et E1 au cran 4. Une proposition retirée sans vote ne compte plus (sa requête ne retient que status IN ('open','applied') ou une proposition votée).

La voie : le geste d'Yvv à l'écran, sur la version en ligne 3f10a0e. Vérifiée le 03/11 entre 05 h 50 et 05 h 56 sur un serveur local de 3f10a0e (base neuve du seed, proposition I1 → 5 créée comme en production ; captures dans le scratchpad de libredecision-d4, shots/3-row.png, 6-withdraw-visible.png, 7-after.png). Pas d'écriture SQL en production.

1. Yvv, connecté, ouvre /g/monnaie-libre/docs/acte-engagement-certification.
2. Il descend au bloc « Propositions en cours » et clique le filtre « Les miennes » : il ne reste que ses deux propositions d'inertie.
3. Sous l'intertitre « INTRODUCTION » (I1) : la ligne « inertie vers 5 / 5 · très haute », « 0 pour · 0 contre », pastille « ta proposition ». Il clique la ligne.
4. Le vote se déplie sous la ligne (l'adresse prend ?vote=<id>). Il clique « Coquilles, traductions, objections, historique ».
5. Le panneau de droite s'ouvre sur « Détails » : « inertie vers 5 / 5 · très haute · proposé par Yvv ». Il clique « Retirer ma proposition ».
6. Message « Proposition retirée. » ; la ligne disparaît des propositions en cours (en base : status = 'withdrawn', left_at posé ; la route relance un balayage, sans effet à 0 vote).
7. Même chose pour E1, sous l'intertitre « ENGAGEMENTS FONDAMENTAUX » (déduit de la liste groupée par section ; non vu en local).

Vérification, sur une copie fraîche de la base de production : SELECT unit_id, status FROM proposals WHERE kind = 'inertia' → 2 withdrawn, 0 open.

Répétition : sur une copie fraîche, le retrait par la route avec le serveur 3f10a0e, puis le démarrage du serveur M6 sur cette copie → I1, E1, E2 au cran 2, et seed_proposal_amendments dit level_outcome = 'applied' pour les trois.

Si le retrait n'est pas fait, l'acte reste valable : I1 et E1 démarrent aux crans 3 et 4, E2 au cran 2, et le journal dit inertia_proposal.

Ce que l'acte écrit dans la base de production (donnée runtime)

• Migrations additives : 0009 (Propositions seed : proposals.seed_featured, la table seed_proposal_amendments), 0010 (tampon : ballots.mode défaut 'chain', ballot_lines.outcome vide, l'index ballots_doc ; aucune ligne réécrite), 0011 (quorums : documents.quorums, units.quorum, la table quorum_amendments).
• Amendement Propositions seed (2026-11-02-i1/e1/e2-proposition-seed), par document et par article, seulement si personne n'y a touché (0 vote, 0 bulletin, aucune coquille, révision, traduction de membre ni signalement, origine seed, texte identique) : la version passe d'en vigueur à ouverte et marquée ; units.in_force_id à NULL ; une ligne revisions de type seed_proposal ; le cran à 2, avec une ligne inertia_changes, si personne n'a touché au cran (aucune proposition d'inertie ouverte, appliquée ou votée : d'où l'étape 0) ; une ligne seed_proposal_amendments ; dans Monnaie libre, une ligne outbox, qui attend.
• Amendement quorums (2026-11-03-quorums-par-cran), une fois par document : documents.quorums = [12,12,50,50,50] (Monnaie libre), [1,1,1,1,1] (essai), là où il est NULL ; une ligne quorum_amendments ; une ligne outbox dans Monnaie libre.
• Le tampon : la première mise en route n'écrit rien du tampon.
• La publication : suspendue. Aucun article n'est plus en vigueur dans Monnaie libre, puis (règle « pas avant des votes prouvés », stricte, confirmée par orch le 03/11 à 06 h 11) rien ne part tant qu'une entrée simulée ne tient pas sur les seuls votes prouvés. Le dépôt des textes garde son dernier état.

Effet attendu

• Les deux groupes : I1, E1 et E2 sont des « Propositions seed », ouvertes, au cran 2 ; aucun article n'est en vigueur ; les modules (titre du document au cran 4, ordre de chaque section au cran 2) restent en vigueur.
• Le seuil se lit en quorum : 12 · 12 · 50 · 50 · 50 votants dans Monnaie libre ; au cran 2, 9 « pour » passent avec 3 « contre » au plus.
• Le vote simulé s'ouvre dans Monnaie libre dès la mise en ligne (pas de LD_VOTE_ACCOUNT) : toute personne qui ouvre le groupe y vote, une personne invitée comprise ; le vote compte aussitôt, marqué « simulé » ; 9 « pour » simulés font entrer I1, E1 ou E2 sur le site, sans publication. À l'ouverture de la chaîne, l'acte « supprime » (ld-server discard-simulation --apply) écartera ces votes et réexaminera ce qu'ils ont fait entrer. Effet de « simule le vote à tout endroit » et « il compte, puis s'efface » ; orch le porte à son rapport, pas en question (03/11, 06 h 11).
• L'accueil sous la voûte.

Irréversibilité : partielle. Le code se remet en arrière ; les données changées restent (I1, E1, E2 sortis de la vigueur, crans à 2, quorums posés, votes simulés éventuels).

Commande exacte

Selon la règle du canon du 02/11, un dossier « déploie » ne liste que la poussée qui met en ligne : vers le remote prod (gitea@git.open.us.org:EHV/decision.git), branche main, le sha figé (Woodpecker : .woodpecker/app.yml, puis maquette.yml). La ligne exacte est écrite au gel, dans le dossier sous actes/.

Vérifications après

• Santé vue de l'extérieur : curl -s https://decision.librodrome.org/api/health → "build":"<SHA8>".
• Journaux : ssh sonic 'docker logs lpk-libredecision-app 2>&1 | grep -E "amendment|quorum|publication|ERROR|WARN"' → les amendements « applied » (Propositions seed, quorums), « publication suspended », aucune erreur.
• Redémarrage à froid (docker compose restart dans /opt/libredecision-app), santé, journaux : aucun amendement rejoué.
• Sur une copie fraîche : les comptes de la répétition, à la ligne près ; integrity_check ok, foreign_key_check vide ; copie retirée ensuite.
• Le dépôt des textes n'a reçu aucun commit (git ls-remote de yvv/decision-depot-textes-reference, branche main : inchangée depuis avant l'acte).
• À l'écran (Yvv, à son retour) : l'accueil sous la voûte ; l'Acte d'engagement : les Propositions seed, aucun article en vigueur ; voter dans Monnaie libre affiche « simulé ».

Retour

• Le code : docker tag libredecision-app:previous libredecision-app:latest, puis cd /opt/libredecision-app && docker compose up -d --force-recreate. previous sera 3f10a0e. Le serveur tolère les migrations qu'il ne connaît pas (set_ignore_missing(true), lib.rs:100).
• Les données : pas de retour automatique. 3f10a0e montrerait I1, E1, E2 comme propositions ouvertes sans la marque, et aucun article en vigueur ; les votes simulés éventuels y compteraient comme des votes du serveur. Un retour du code au-delà de quelques minutes demande un acte de données à part.
• La publication : rien n'est parti, rien à retirer.

Copie de la base de production (prise par orch, lecture seule, aucune écriture côté production)

Dans /tmp/ld-m6-copie (700 / 600), par docker exec lpk-libredecision-app cat /data/<f> pour libredecision.db, -wal, -shm, puis PRAGMA integrity_check; PRAGMA foreign_key_check; en sqlite3 -readonly. Pas un instantané atomique : integrity_check le dirait, et l'on reprend la copie. Première copie : 03/11 à 06 h 11 min 12, production 3f10a0e8, « ok », aucune clé étrangère cassée. Seconde copie juste avant la poussée.

Lecture des prémisses : m6/counts.sh (scratchpad de l'intégrateur), en lecture seule. Répétition : m6/repetition.sh, sur une copie de la copie, publication vers un dépôt nu local ; /tmp/ld-m6-copie n'est jamais écrit.

Prémisses à vérifier (à compléter au gel)

1. La production sert 3f10a0e : santé "build":"3f10a0e8" ; prod/main → 3f10a0e.
2. Sur une copie fraîche : aucune proposition d'inertie open ; 0 vote ; I1, E1, E2 en vigueur, aux crans 3, 4, 4, dans les deux groupes, intouchés (sinon l'amendement les refuse avec sa raison, et l'acte reste valable).
3. Sur la même copie : aucune proposition qui aurait déjà ses voix au nouveau seuil (attendu : 0 vote).
4. La relecture indépendante du sha figé, inscrite « ok » dans ~/harness/etat/relectures.json ; aucune autre relecture de ce code en cours.
5. git diff 3f10a0e <SHA> -- docker/ .woodpecker/ .env data/ : à lire.
6. Boucle verte sur <SHA> et image de production construite.