HANDOFF : dc2de09 en ligne (24/10, 01h37)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

HANDOFF.md

@@ -5,7 +5,8 @@
 ## Où on en est
 
 **Chantier 1 — Acte d'engagement Certification** : **en ligne** sur decision.librodrome.org,
-version `744d157` depuis le 2026-10-22 (pipeline Woodpecker n° 32 ; avant : `fa8e8dc`, n° 30) ;
+version `dc2de09` depuis le 2026-10-24 à 01h37 (sessions jusqu'à ce qu'on les ferme ; avant :
+`744d157`, le 2026-10-22) ;
 la maquette est sur maquette.decision.librodrome.org (certificat jusqu'au 19/01/2027). En ligne :
 liens d'équipe, nouveau lien de connexion, noms uniques et mention « sur invitation », règles de
 coquilles des relectures 7 à 10, publication vers `yvv/decision-depot-textes-reference` (état et
@@ -36,8 +37,9 @@ the Docker daemon », rien construit). Remède : `docker restart aya-woodpeckerc
 - Relectures indépendantes avant mise en ligne, chacune traitée avant de livrer : `1f9c241 :
   ok`, `94907af : ok`, puis quatre « à reprendre » (`ac9c904`, `9203fd2`, `1eac6f8`, `6c0754a`),
   toutes sur la même question : une « coquille » (sans vote, publiée) qui change un sens, puis
-  `fa8e8dc : ok` (mis en ligne), `c3d6bf8 : ok`, `fd19dbf : ok`, `753b522 : ok`, `8a32160 : ok`, `850f9c4 : ok`. La
-  règle est désormais simple et explicable : **une coquille touche les lettres et les espaces,
+  `fa8e8dc : ok` (mis en ligne), `c3d6bf8 : ok`, `fd19dbf : ok`, `753b522 : ok`, `8a32160 : ok`,
+  `850f9c4 : ok`, `744d157 : ok` (en ligne) ; pour les sessions : `cf634c2 : ok`, `decbc0b : à
+  reprendre`, `dc2de09 : ok` (en ligne le 2026-10-24). La règle est désormais simple et explicable : **une coquille touche les lettres et les espaces,
   rien d'autre** (CHANTIER.md, ADR 0003). Autres points traités : ordre des workflows, anciens
   conteneurs en `restart: always`, vote réservé aux membres de la toile dans Monnaie libre (une
   personne, une voix), lien d'invitation jamais vers une identité Ğ1, réservation du lien avant
@@ -57,6 +59,18 @@ the Docker daemon », rien construit). Remède : `docker restart aya-woodpeckerc
    invitation par personne. Pour soi sur un autre appareil : « Nouveau lien de connexion ».
 4. Donner à Chiara un compte **git.open.us.org** collaboratrice de `yvv/decision`.
 5. Décider : la **licence** du code ; le texte F1.2 du seed (annonce C = 0 et 30 jours).
+6. **Connexion Ğ1 par sso-connect** (2026-10-23) : plan dans
+   `trustinWallet/docs/PLAN-sso-connect.md`. Les portefeuilles ne signent que pour
+   `connect.monnaie-libre.fr` : libreDecision en sera client (point 1), jamais son propre
+   serveur. Première contribution **ouverte le 2026-10-23** :
+   https://git.duniter.org/clients/sso-connect/-/merge_requests/7 (depuis ton fork
+   `Yvv/sso-connect`, branche `feat/page-neutre` : page neutre entre portefeuilles, et la page
+   nomme le site qui demande la connexion). Commentaire posté à 1000i100 sur sa !6 (faille des
+   adresses locales). Restent à toi : révoquer le jeton `mr-sso-connect`, poster
+   `trustinWallet/docs/MESSAGE-forum-sso-connect.md` sur le fil, et trancher la stratégie de
+   trustinWallet (couche de confiance qui fait signer par les portefeuilles existants, ou
+   portefeuille complet ; bulletins de vote signés et ancrés par une remarque sur la chaîne
+   plutôt qu'une transaction par vote).
 
 ## Pour reprendre
 
@@ -76,4 +90,9 @@ the Docker daemon », rien construit). Remède : `docker restart aya-woodpeckerc
   - noms : sosies latins étendus et ligatures (ı, ł, œ, ß…), invitations créées par un
     administrateur sans contrôle de nom ;
   - `sbom-publish` échoue (curl 60 : certificat du serveur Dependency-Track refusé) — étape en
-    `failure: ignore`, déjà le cas avant la v3.
+    `failure: ignore`, déjà le cas avant la v3 ;
+  - sessions (relecture de `dc2de09`) : un contrôle e2e « nouveau lien, fermer ses sessions, le
+    lien disparaît » ; la réservation d'un lien et l'ouverture de sa session dans une même
+    transaction (sinon un lien ouvert à l'instant de la fermeture laisse une session) ; après
+    « Annuler » une invitation dans la liste, retirer aussi le lien affiché (défaut déjà en
+    ligne) ; `Cache-Control: no-store` sur `/api`.

docs/chantiers/acte-certification/ONBOARDING.md

@@ -19,8 +19,8 @@ les contradictions, l'inertie votée, la publication. Puis `CONTROLES.md` : ce q
 Le lien d'invitation s'ouvre **une seule fois** et expire en 14 jours ; il ouvre ta session sur
 ce navigateur. Elle reste ouverte tant que tu reviens au moins une fois par an, jusqu'à ce que
 tu te déconnectes ou qu'un administrateur la ferme (appareil perdu, par exemple). Sur un autre
-appareil, demande à Yvv un nouveau lien de connexion. Si Yvv t'envoie plutôt un **lien d'équipe** (`/equipe#…`), il te demande ton nom et
-te crée ta propre identité ; ne l'ouvre qu'une fois, puis reviens par ta session.
+appareil, demande à Yvv un nouveau lien de connexion. Si Yvv t'envoie plutôt un **lien
+d'équipe** (`/equipe#…`), il te demande ton nom et te crée ta propre identité ; ne l'ouvre qu'une fois, puis reviens par ta session.
 
 ## 3. Tester sans rien installer