[DTP-Worker 20260803_010630] Sprint 8 · fix · Gate constraints-guard RED réparé (mandat signé Michel)

Régression NEUVE du gate depuis les commits Michel de ce soir (7e4456e/94ae143/9067313 →
4 fichiers root-owned racine). constraints-guard mordait AUTORISATIONS_MICHEL_20260803.md:35
« Écriture dans /var/www/html/static/ » — autorisation POSITIVE en prose de mandat, sans
marqueur de prohibition. Fichier root:root 644 NON éditable par otoclaude + doc signé que je
n'ai pas créé → ni ci-allow par ligne ni réécriture possibles.

Correctif au niveau du garde (ci/, que je possède) : AUTORISATIONS_*.md + DIRECTIVE_*.md
ajoutés aux exclusions tracked_files(), MÊME classe que les exclusions préexistantes
(ci/guard_constraints.sh + .gitea/workflows/*.yml) — docs contenant NÉCESSAIREMENT les
termes en texte de politique. Détection vraie-positive PRÉSERVÉE (mutation-test : un .sh
commité avec les 3 usages interdits → garde mord 3/3). CLAUDE.md RESTE scanné.

⚠️ CONTRADICTION INTER-MANDATS signalée à Michel (NON masquée, activity log + ci/README) :
AUTORISATIONS l.35 contredit l'interdit absolu CLAUDE.md — le chemin correct est le SYMLINK
source /opt/oto/sites/static/. Recommandation : corriger l.35. Décision → Michel.

ci/README §guard mis en cohérence. Zéro nouveau module · garde NON affaibli (faux-positif
corrigé conforme à sa philosophie USAGE-not-mention). run_ci.sh 30 PASS 0 FAIL.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

ci/README.md

@@ -74,6 +74,19 @@ Détecte l'**usage** (pas la simple mention) de :
 (`jamais`, `❌`, `only`, `pas de`, `interdit`…) est un rappel de règle → ignorée.
 Escape hatch documenté : ajouter `ci-allow` sur une ligne pour l'exclure.
 
+**Exclusions de fichiers** (`tracked_files()`) — documents qui contiennent
+*nécessairement* les termes interdits en tant que **texte de politique** (mention),
+jamais en usage exécutable : le garde lui-même (il énumère les termes), les workflows
+CI (ils le référencent), et les **mandats signés de Michel à la racine**
+(`AUTORISATIONS_*.md`, `DIRECTIVE_*.md`) — prose de gouvernance listant règles ET
+autorisations. L'usage *réel* d'un terme interdit vivrait dans un `.sh`/`.py`/`.yml`
+(**toujours scannés**), donc aucune détection vraie-positive n'est perdue (mutation-test
+à l'appui). **`CLAUDE.md` reste scanné** : sa prose d'interdits passe via les marqueurs
+de prohibition. NB · `AUTORISATIONS_*.md` l.35 « Écriture dans `/var/www/html/static/` » <!-- ci-allow : citation du mandat -->
+**contredit** l'interdit absolu de CLAUDE.md (le chemin correct est le SYMLINK source
+`/opt/oto/sites/static/`) — contradiction inter-mandats **signalée à Michel** (à trancher
+par lui, pas masquée par le garde).
+
 **Non-dérive documentée — `michel/otov7-platform` (CLAUDE.md #2) N'EST PAS une coquille
 de `michel/oto-enterprise-os-dtp`, à ne PAS « corriger ».** Un audit doc-vs-réalité relève
 périodiquement que la contrainte #2 nomme `michel/otov7-platform` (port 3015) tandis que la