[DTP-Worker 20260802_063519] Sprint 8 · buffer · RBAC SPEC §2 : ancrage de l'encadré « Défense en profondeur » (NOM du détenteur de set_user_permissions · scope · famille) sur l'artefact byte-gaté

Extension du bloc « RBAC fixtures » (points 4 & 5) : la 3e surface prose du fait
de sécurité set_user_permissions (SPEC §2 encadré + §6 row) était NON gatée. Le
test test_rbac impose scope/famille à tout détenteur mais jamais le NOM du rôle ni
la prose §2. Réutilise fx_sup (singleton déjà byte-gaté · pas de doublon d'unicité,
#5) comme nom-autorité + src_roles pour scope/famille.

Prouvé M6 SILENT-GREEN : rename détenteur dans le contrat + régen artefacts =>
check_artifacts VERT mais §2 name-gate RED (autorité = artefact, pas cohérence SPEC).
6 morsures adversariales, 6 gates re-verts exit 0.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

05_activity_log/2026-08-02.md

@@ -1,5 +1,59 @@
 # Activity log · 2026-08-02 · Claude Code DTP Worker
 
+## Sprint 8 · buffer · RBAC SPEC §2 — ancrage de l'encadré « Défense en profondeur » (NOM du rôle détenteur de `set_user_permissions` · scope · famille) sur l'artefact byte-gaté
+
+**Contexte** — Série anti-dérive Sprint 8 (CLAUDE.md #6 « zéro invention »). Le §2
+« Modèle RBAC » de `05_deliverables_mvp/rbac/RBAC_50_ROLES_SPEC.md` ferme sur un
+encadré de sécurité « **Défense en profondeur** » : le pouvoir `set_user_permissions`
+(élévation de privilège) est « **réservé** au SEUL rôle `OTO Plateforme RBAC Admin`
+(`scope_donnees = groupe`, `famille = plateforme`) — séparation des pouvoirs vérifiée
+par test automatisé ». La SPEC se réclame donc d'un **fait de sécurité tiré du
+contrat** `rbac_50_roles.json`, sur **trois attributs** : NOM du détenteur · scope ·
+famille. Or le test cité (`test_rbac::test_set_user_permissions_reserve_admin`) impose
+bien scope==groupe ET famille==plateforme à TOUT détenteur — MAIS **jamais le NOM du
+rôle** (`OTO Plateforme RBAC Admin`) NI cette prose §2. L'**UNICITÉ** (« au SEUL rôle »)
+et le NOM étaient DÉJÀ gatés côté **artefact** (bloc « RBAC fixtures », singleton
+`len(fx_sup)==1` depuis `custom_docperm.json` byte-gaté + prose du **README fixtures**
+« émis que pour le rôle **NAME** ») — mais **PAS la 3ᵉ surface prose, le §2 de la SPEC**.
+
+**Le « vert trompeur »** — RENOMMER le détenteur dans le contrat (+régénérer
+fixtures/out + audit 4Big) laisse le §2 citer un rôle **DISPARU** en silence :
+`check_artifacts` ne voit qu'un **HASH de TAILLE** du doc (agnostique au nom · la SPEC
+n'est pas un `out/*.json`), les 10 tests restent verts (scope/famille inchangés).
+**Prouvé (M6 SILENT-GREEN)** : renommer `…RBAC Admin`→`…Securite Admin` dans le
+contrat + régénérer les 4 générateurs RBAC & l'audit ⇒ **`check_artifacts` VERT**
+pendant que le nouveau gate mord « §2 nomme ['OTO Plateforme RBAC Admin'] MAIS
+set_user_permissions réservé à 'OTO Plateforme Securite Admin' » — preuve que
+l'autorité est l'**ARTEFACT byte-gaté**, pas la cohérence interne de la SPEC.
+
+**Gate ajouté** (`ci/check_readme_claims.sh`, **extension** du bloc « RBAC fixtures »,
+points 4 & 5 — pas un bloc neuf) — RÉUTILISE `fx_sup` (le singleton déjà byte-gaté
+ci-dessus · **zéro re-dérivation de l'unicité**, interdit #5 « jamais de doublon »)
+comme **NOM-autorité** et `src_roles` (contrat byte-gaté) pour scope/famille. Capte
+l'encadré `**Défense en profondeur** … vérifiée par test automatisé` (spec_rd
+whitespace-normalisé) et exige : le pouvoir `set_user_permissions` y est **nommé** ;
+**(a)** le NOM du détenteur cité (accents/casse neutralisés) == le seul porteur du
+flag ; **(b)/(c)** les `scope_donnees = …` / `famille = …` cités == attributs du
+détenteur dans `rbac_50_roles.json` ; **(5)** §6 (row « Séparation des pouvoirs »)
+cite bien `set_user_permissions` réservé (anti-évaporation). Encadré/row INTROUVABLE =
+échec (#6). La glose « (gestion des habilitations) » N'est PAS gatée (éditoriale).
+
+**Note process** (interdit #5) — un premier jet ajoutait un bloc §2 autonome
+RECALCULANT le singleton depuis `src_roles` : **doublon** de la vérification d'unicité
+déjà portée par le bloc fixtures (via `custom_docperm.json` byte-gaté, équivalent par
+`check_artifacts`). Écarté ; les 4 checks réécrits en **extension** du bloc existant,
+sans ré-affirmer l'invariant d'unicité.
+
+**Vérif** — 4 checks verts sur l'arbre propre. **6 morsures** adversariales, gate
+lancé seul, reverts par `cp`/`tar` ciblés (jamais `git checkout` large — cf. incident
+consigné) : **M1** §2 renomme le détenteur (prose) ⇒ NOM ≠ artefact · **M2** §2
+scope `groupe`→`entite` ⇒ (b) ≠ détenteur · **M3** §2 famille `plateforme`→`ventes`
+⇒ (c) ≠ détenteur · **M4** encadré supprimé ⇒ INTROUVABLE · **M5** §6 retire
+`set_user_permissions` ⇒ ancre évaporée · **M6 SILENT-GREEN** (ci-dessus) contrat
+renommé + artefacts régénérés, `check_artifacts` VERT ⇒ §2 (a) mord. Suite complète
+re-verte : `check_artifacts` · `check_docs` · `guard_constraints` ·
+`check_ci_integrity` · `check_regression` · `check_readme_claims` tous exit 0.
+
 ## Sprint 8 · buffer · Traçabilité roadmap — ancrage de la CITATION `roadmap_ref` VERBATIM (n° ligne + libellé) des artefacts sur la ligne RÉELLE de la roadmap
 
 **Contexte** — Série anti-dérive Sprint 8 (CLAUDE.md #6 « zéro invention · toujours