v3 : ADR 0008, chantier et contrôles alignés sur les corrections du vote par la chaîne

ADR 0008 : la requête (finalité, filtre, pages), ce que l'indexeur expose (squidStatus :
name, height, hash ; height reste 3 blocs derrière le bloc le plus récent, relevé du
2026-10-31), la tâche de fond, lâcher ou garder un bulletin, le plafond par identité et la
purge, le reçu, la variante « prise par une copie payée », les totaux affichés isolés.
CONTROLES : C24 (panier fermé), C32 (lâcher ou garder), C33 (le reçu).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/chantiers/acte-certification/CHANTIER.md

@@ -229,7 +229,9 @@ du bulletin (`ld1:` + 64 chiffres hexadécimaux). La voix est celle de **l'ident
 qui signe**, membre au moment où le serveur confirme la transaction sur l'indexeur ; quelle que
 soit la session (invitation ou connexion Ğ1), la même identité n'a qu'une voix par version, et
 **le dernier vote fait foi**, dans l'ordre de la chaîne. La chaîne montre qui a voté et quand,
-jamais quoi ; chacun ne voit que les totaux. Sans compte des votes configuré
+jamais quoi ; chacun ne voit que les totaux. Chacun reçoit **le reçu de son bulletin** (ses votes
+et son sel), le retrouve sur « Tes bulletins » et le vérifie dans son navigateur ; personne
+d'autre ne le reçoit (ADR 0008, « Le reçu »). Sans compte des votes configuré
 (`LD_VOTE_ACCOUNT`), le vote par la chaîne est fermé et l'interface le dit. Dans les groupes
 gérés (essai, Axiom…), tout membre vote directement, sans portefeuille.
 
@@ -259,9 +261,11 @@ Les raisons longues sont dans `docs/adr/`.
   de la toile, ou dont l'accès est révoqué, garde les voix déjà confirmées.
 - Le serveur fait confiance à l'indexeur pour lire la transaction (remarque, virement, identité,
   appartenance à la toile) ; plusieurs indexeurs se configurent (ADR 0008).
-- Par Ğecko, le bulletin n'est lié à aucun compte : une copie de son sceau incluse avant lui par
-  un autre compte le prendrait. Par l'extension, il est lié au compte qui signe.
-- Un bulletin non vu sur la chaîne en 24 heures est lâché : un paiement plus tardif ne compte pas.
+- Par Ğecko, le bulletin n'est lié à aucun compte : une copie nue de son sceau est ignorée, mais
+  une copie **payée** (0,1 Ğ1) incluse avant lui par un autre compte le prendrait. Par
+  l'extension, il est lié au compte qui signe.
+- Un bulletin non vu sur la chaîne en 24 heures est lu une dernière fois, puis lâché : un
+  paiement plus tardif ne compte pas.
 - Dans un groupe géré (essai, Axiom…), une même personne admise sous une identité d'invitation
   **et** sous sa clé Ğ1 aurait deux voix : c'est à l'administration de n'en admettre qu'une.
 - Un administrateur peut créer un nouveau lien pour une identité d'invitation existante