[DTP-Worker] Sprint 8 · buffer L75 · Surface RBAC non gatée : 3 READMEs de module (roleprofile · apply_plan · userperm) recopiaient À LA MAIN des comptes dérivés des out/MANIFEST.json byte-gatés (recalculés du contrat rbac_50_roles.json à chaque build) sans AUCUN gate — table « Nb rôles » par profil (6 lignes + total bijectif 50), ligne agrégée « 6 étapes · 50 rôles / 116 DocPerm / 28 UP templates / 6 Role Profile · 4 DocType custom + 5 Company + 4 rôles » (8 comptes de tous les volets) et ventilation « 28 entite · 16 groupe · 2 own · 4 equipe » ; ajouter un rôle/DocType ferait dériver les trois docs en silence → nouveau bloc dans check_readme_claims recomputant chaque nombre depuis le MANIFEST du volet (10 checks · 3 morsures vérifiées : dérive par-profil · dérive agrégat consolidé · dérive ventilation ; claim absent = red)

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

ci/README.md

@@ -20,7 +20,7 @@ et manuellement (`workflow_dispatch`). Jobs statiques (+ une suite `unittest` pa
 | `check-artifacts` | `ci/check_artifacts.sh` | Reproductibilité : chaque `out/*.json` versionné == build frais | ✅ oui |
 | `check-regression` | `ci/check_regression.sh` | Fraîcheur : `qa/regression/out/regression_run.json` (`run`) == run frais + verdict PASS | ✅ oui |
 | `check-ci-integrity` | `ci/check_ci_integrity.sh` | Intégrité du câblage : `gate.needs` == tous les jobs non-manuels · chaque `ci/*.sh` câblé au gate | ✅ oui |
-| `check-readme-claims` | `ci/check_readme_claims.sh` | Intégrité des chiffres des docs d'entrée : chaque nombre de `README.md` « État courant », de la fiche QA « Verdict agrégé » **et** de la colonne « Tests » par suite des tables de fiches **et** des agrégats en prose (Total CRM / RBAC / e-CF) **et** des comptes par workspace des portails (cartes/liens/rôles, ×2 docs) == artefact cité (#6) | ✅ oui |
+| `check-readme-claims` | `ci/check_readme_claims.sh` | Intégrité des chiffres des docs d'entrée : chaque nombre de `README.md` « État courant », de la fiche QA « Verdict agrégé » **et** de la colonne « Tests » par suite des tables de fiches **et** des agrégats en prose (Total CRM / RBAC / e-CF) **et** des comptes par workspace des portails (cartes/liens/rôles, ×2 docs) **et** des comptes RBAC des 3 volets (table Nb rôles/profil, ligne agrégée apply_plan, ventilation userperm) == artefact cité (#6) | ✅ oui |
 | `gate` | — | Agrégat vert = gate qualité 4Big franchi | ✅ oui |
 
 Aucune dépendance réseau/marketplace hors `actions/checkout`. Tout tourne avec
@@ -163,6 +163,17 @@ natifs » sont recomputés depuis `frontend/portails/out/MANIFEST.json` (tableau
 `workspaces`, lui-même byte-gaté par `check_artifacts`) : ajouter un rôle/DocType
 au contrat RBAC ferait dériver **les deux** docs en silence sinon.
 
+Même classe enfin sur les **comptes RBAC des 3 volets** (`rbac/roleprofile_gen`,
+`rbac/apply_plan`, `rbac/userperm_gen`), recopiés **à la main** dans leurs READMEs
+de module : la table « Nb rôles » **par profil** (+ total bijectif 50), la ligne
+agrégée « Génération réelle : 6 étapes · 50 rôles / 116 DocPerm / 28 UP templates
+/ 6 Role Profile · 4 DocType custom + 5 Company + 4 rôles equipe » (8 comptes de
+tous les volets en une phrase) et la ventilation « 28 `entite` · 16 `groupe` · 2
+`own` · 4 `equipe` ». Chaque nombre est recomputé depuis le `out/MANIFEST.json`
+du volet (recalculé du contrat `rbac_50_roles.json` à chaque build, byte-gaté par
+`check_artifacts`) : ajouter un rôle/DocType ferait dériver **les trois** READMEs
+en silence sinon.
+
 Un claim **absent** échoue aussi (la dérive de formulation qui ferait
 disparaître un chiffre est elle-même une régression de traçabilité). stdlib pur
 (bash/git/python3), zéro réseau.