[DTP-Worker] Sprint 8 · buffer · Faisabilité/fiches agents : les DEUX FICHES D'IDENTITÉ des rôles RBAC faisabilite-rendu-3d (03_agents/rendu/AGENT.md:34) et faisabilite-ifc-speckle (03_agents/ifc_speckle/AGENT.md:34) — la carte que l'agent ERPNext Backend lit pour SEEDER le rôle porteur des rendus / de l'export IFC→GLB — recopiaient EN PROSE, DEPUIS le contrat rbac_50_roles.json, les attributs data-derived du rôle (erpnext_role_name · nom_fr/modules côté rendu · portail · entite_principale · niveau · les DEUX permissions_cibles File R/W/create + Faisabilité R ou R/W) SANS AUCUN gate d'IDENTITÉ. Le README frontend/portails n'est gaté que sur des COMPTES de rôles par Workspace, aveugles à l'identité de CE rôle.

Même classe que la Fiche Mobile (session précédente) — surface 03_agents/*/AGENT.md transcrivant à la main les attributs d'un rôle depuis le contrat, gatée (si tant est) seulement sur des comptes agrégés. Gate ajouté (bloc « Fiches Faisabilité », config-table par fiche : fichier · role_id · attributs restitués) : par attribut recomputé du contrat, prose EXACTE exigée ; permissions rendues en ORDRE CANONIQUE (read→R · write→W · create/delete/… en toutes lettres — élargir/rétrécir change la chaîne, `R/W/create` ne satisfait plus `R/W/create/delete`) ; verbe inconnu ⇒ ROUGE ; claim absent échoue AUSSI.

#6 (honnêteté) vérifié AVANT édition : la DESCRIPTION de ces deux fiches est une PARAPHRASE éditoriale (le contrat porte « (… — CLAUDE.md) » / « les modèles » que la fiche condense) — donc NON gatée verbatim (ne rien réécrire de correct pour un gate), seuls les attributs structurés (transcrits à l'exact) sont contraints. État courant : aucun attribut structuré périmé (12 recomputes == contrat).

11 morsures vérifiées (5 contrat + 6 fiche) : rendu Faisabilité +write (R→R/W) · rendu niveau 2→3 · rendu WA SRL→WAF · rendu rôle renommé · ifc Faisabilité R/W→R · fiche rendu File R/W/create→…/delete · fiche ifc R/W→R/W/create · fiche rendu module Faisabilité→Selling · fiche ifc WA SRL→WAF · fiche rendu nom_fr retiré (absent) · ligne contact ifc supprimée (INTROUVABLE) ; restauré vert, 7 gates re-verts. ci/README.md + activity log MAJ.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

05_activity_log/2026-08-01.md

@@ -183,3 +183,65 @@ absolu) · **7 gates re-verts**.
   édition **hors** `05_deliverables_mvp/*/out` ⇒ 0 dérive d'artefact ; le seed réel
   du rôle `bench` reste côté VPS).
 - **Auto-score 4Big** : 96/100.
+
+## Session `20260801_013208` · Buffer S8 · Domaine Faisabilité/fiches agents : les **deux FICHES D'IDENTITÉ** des rôles RBAC `faisabilite-rendu-3d` (`03_agents/rendu/AGENT.md:34`) et `faisabilite-ifc-speckle` (`03_agents/ifc_speckle/AGENT.md:34`) — la carte que l'agent ERPNext Backend lit pour **seeder** le rôle porteur des rendus / de l'export IFC→GLB — recopiaient EN PROSE, DEPUIS le contrat `rbac_50_roles.json`, les attributs data-derived du rôle (`erpnext_role_name` · `nom_fr`/`modules` côté rendu · `portail` · `entite_principale` · `niveau` · les **deux** `permissions_cibles` `File` R/W/create + `Faisabilité` R ou R/W) SANS AUCUN gate d'IDENTITÉ. Le README `frontend/portails` n'est gaté que sur des COMPTES de rôles par Workspace, AVEUGLES à l'identité de CE rôle.
+
+**Tâche** : **Sprint 8 · buffer** (DevOps CI/CD · QA). Roadmap fonctionnellement
+close ; poursuite de la série anti-dérive (CLAUDE.md #6). MÊME classe que la Fiche
+Mobile de la session précédente (`plateforme-mobile`) — surface `03_agents/*/AGENT.md`
+qui transcrit à la main les attributs d'un rôle depuis `rbac_50_roles.json`, gatée (si
+tant est) seulement sur des comptes agrégés — appliquée aux **deux fiches faisabilité
+construction** encore ungated. Mémoire `agent-fiche-role-attrs-ungated` mise à jour.
+
+**Dérive silencieuse fermée** :
+- `03_agents/rendu/AGENT.md:34` — cellule « Ce qu'il fixe » du rôle
+  `faisabilite-rendu-3d` : `OTO Faisabilité Rendu 3D` · « Spécialiste Rendu 3D » ·
+  portail `construction` · `WA SRL` · niveau 2 · module `OTOV7 Faisabilité` ·
+  perms `File` R/W/create + `Faisabilité` R.
+- `03_agents/ifc_speckle/AGENT.md:34` — cellule du rôle `faisabilite-ifc-speckle` :
+  `OTO Faisabilité IFC Speckle` · portail `construction` · `WA SRL` · niveau 2 ·
+  perms `File` R/W/create + `Faisabilité` **R/W** (écriture en plus vs rendu).
+- Source faisant autorité : `05_deliverables_mvp/rbac/rbac_50_roles.json` (contrat
+  RBAC schéma-validé · les 3 MANIFEST RBAC en dérivent, byte-gatés par
+  `check_artifacts`). Plusieurs blocs du gate lisent déjà ce contrat directement.
+- Piège : la seule vérification existante (`tests/`) teste des **FONCTIONS** de
+  résolution RBAC, jamais la PROSE d'une fiche. Élargir `Faisabilité` R→R/W (le rôle
+  Rendu 3D gagnerait l'écriture sur un DocType qu'il ne doit que LIRE), changer
+  `niveau`/`entite_principale`, renommer le rôle ou permuter un module laisse la fiche
+  périmée pendant que le contrat dit autre chose → l'agent câblerait le mauvais rôle.
+- **Constat #6 (honnêteté)** : la **DESCRIPTION** de ces deux fiches est une
+  **PARAPHRASE éditoriale** (le contrat porte « (… — CLAUDE.md) » / « les modèles »
+  que la fiche condense) — vérifié programmatiquement AVANT toute édition. Elle n'est
+  donc **PAS** gatée verbatim (ne rien réécrire de correct pour satisfaire un gate) ;
+  seuls les attributs **structurés**, eux transcrits à l'exact, sont contraints.
+- **État courant** : aucun attribut structuré périmé — les 12 recomputes recoupent
+  le contrat exactement (anti-invention #6, rien à réécrire). Le défaut est la
+  **surface ungated**.
+
+**Gate ajouté** (`ci/check_readme_claims.sh`, nouveau bloc « Fiches Faisabilité »
+avant `sys.exit`) : table de config par fiche (fichier · role_id · liste des attributs
+RESTITUÉS). Pour chaque fiche : (1) **par attribut** — `erpnext_role_name` · `nom_fr` ·
+`portail` · `entite_principale` · `niveau` · `modules` · les deux permissions
+recomputés du contrat, prose EXACTE exigée (regex par attribut, lookaheads
+anti-préfixe niveau/module/perms) ; (2) **permissions** — chaîne
+« \`Doctype\` R/W/create + \`Autre\` R » rendue en **ordre canonique** (read→R ·
+write→W · create/delete/submit/… en toutes lettres) : élargir OU rétrécir change la
+chaîne attendue (`R/W/create` ne satisfait plus `R/W/create/delete`) ; verbe inconnu ⇒
+ROUGE. Un claim absent échoue AUSSI (ligne de contact INTROUVABLE = régression #6).
+
+**11 morsures vérifiées** (5 côté contrat = fiche périmée · 6 côté fiche = fiche
+fausse) : contrat rendu `Faisabilité +write` (sigle `R→R/W`) · contrat rendu
+`niveau 2→3` · contrat rendu `WA SRL→WAF` · contrat rendu rôle renommé · contrat ifc
+`Faisabilité R/W→R` · fiche rendu perm `File R/W/create→…/delete` (over-claim) · fiche
+ifc perm `R/W→R/W/create` (over-claim) · fiche rendu module `Faisabilité→Selling` ·
+fiche ifc `WA SRL→WAF` · fiche rendu `nom_fr` retiré (claim absent) · ligne de contact
+ifc supprimée (INTROUVABLE) ; restauré = green : 12 attributs == contrat · exit 0.
+Working tree byte-restauré (`git checkout --`, **JAMAIS** `git clean`, interdit
+absolu) · **7 gates re-verts**.
+
+- `ci/README.md` (table récap du pipeline + paragraphe détaillé « deux fiches
+  d'identité des rôles RBAC faisabilité ») mis à jour.
+- **Hors périmètre worker (VPS · #8)** : néant (gate bash/python3 stdlib en-repo ;
+  édition **hors** `05_deliverables_mvp/*/out` ⇒ 0 dérive d'artefact ; le seed réel
+  des rôles `bench` reste côté VPS).
+- **Auto-score 4Big** : 96/100.