[DTP-Worker] Sprint 8 · buffer L75 · Gate intégrité câblage CI (ci/check_ci_integrity.sh) : gate.needs ⊇ tous jobs non-manuels + chaque ci/*.sh verrouillé au gate

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.gitea/workflows/ci.yml

@@ -77,6 +77,26 @@ jobs:
       - name: Contrôle fraîcheur matrice de régression
         run: bash ci/check_regression.sh
 
+  # --------------------------------------------------------------------------
+  # Intégrité du câblage CI (Sprint 8 buffer). Le job `gate` ci-dessous est le
+  # SEUL verrou de merge : un check absent de son `needs:` ne bloque rien, même
+  # rouge. Les couvertures existantes (audit_4big/registry · qa/regression/
+  # discovery) ne prouvent l'appartenance au gate que des jobs de MODULE (ceux
+  # portant un `working-directory:`). Ce gate ferme le trou côté gates STATIQUES
+  # (les `ci/*.sh` sans working-directory) : il prouve, en lisant ci.yml, que
+  # `gate.needs` == { tous les jobs } − { gate } − { jobs manuels workflow_dispatch }
+  # (aucun oubli ni référence fantôme) et que chaque `ci/*.sh` du dépôt est lancé
+  # par un job du gate. Même classe d'anti-dérive que INV4, appliquée au câblage.
+  # stdlib pur (bash/awk/git), zéro réseau.
+  # --------------------------------------------------------------------------
+  check-ci-integrity:
+    name: Intégrité du câblage CI (gate agrège tout · gates statiques verrouillés)
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: Contrôle intégrité du câblage CI
+        run: bash ci/check_ci_integrity.sh
+
   # --------------------------------------------------------------------------
   # Publiciste (Sprint 2) : parser faisabilité → projets_master.json + generator.
   # Tests unitaires stdlib pur (unittest) → aucune installation pip requise sur
@@ -462,7 +482,7 @@ jobs:
   gate:
     name: Gate qualité (agrégat)
     runs-on: ubuntu-latest
-    needs: [constraints-guard, validate-json, check-docs, check-artifacts, check-regression, publiciste-tests, rbac-tests, faisabilite-gen-tests, rbac-fixtures-tests, rbac-userperm-tests, rbac-roleprofile-tests, rbac-applyplan-tests, bancable-tests, crm-workflow-vente-tests, crm-dossier-vente-tests, crm-commissions-tests, fiscal-ecf-tests, frontend-portails-tests, legal-confotur-tests, qa-audit-5d-tests, seo-tests, chat-otoia-tests, qa-audit-4big-tests, demo-scenario-tests, qa-regression-tests, devops-deploy-runbook-tests, qa-acceptance-tests]
+    needs: [constraints-guard, validate-json, check-docs, check-artifacts, check-regression, check-ci-integrity, publiciste-tests, rbac-tests, faisabilite-gen-tests, rbac-fixtures-tests, rbac-userperm-tests, rbac-roleprofile-tests, rbac-applyplan-tests, bancable-tests, crm-workflow-vente-tests, crm-dossier-vente-tests, crm-commissions-tests, fiscal-ecf-tests, frontend-portails-tests, legal-confotur-tests, qa-audit-5d-tests, seo-tests, chat-otoia-tests, qa-audit-4big-tests, demo-scenario-tests, qa-regression-tests, devops-deploy-runbook-tests, qa-acceptance-tests]
     steps:
       - name: Résultat
         run: echo "✅ Gate qualité 4Big franchi — tous les checks verts."