refactor(api): le bootstrap redescend de quatre appels à un

L'objectif acté était deux appels spécifiques au polyfill, voire un. Il en publiait
quatre. Chacun des trois de trop était une raison que la BIBLIOTHÈQUE a, pas un besoin
qu'une application a :

- **`configureStoreRegistry`** existait parce qu'il y a deux internes à câbler — le SDK
  injecté d'un côté, la session de l'autre. Vu de l'appelant, les deux disent « voici ce
  qu'il te faut pour tourner ». Replié dans `configure`, qui prend désormais
  `getSession` / `normalizeId` / `pointerGuard`.
- **`setCurrentUser`** n'a plus lieu d'être publié depuis que le portail d'accès est
  passé dans le polyfill : c'est lui qui pose l'identité. Et une application qui nomme
  sa propre identité est exactement le geste qui inverse le modèle — il ne doit pas
  exister d'appel publié vers lequel se tourner. Le harnais e2e, lui, joue plusieurs
  identités sur une même page ; il y accède par le chemin interne, ce qu'un harnais a
  le droit de faire et une application non.
- **`connectedUser`** est maintenant attendu DANS `ensureIdentity`. Ce n'était pas une
  commodité : la suite applicative avait montré qu'une app devait l'attendre elle-même,
  sinon une note qu'on venait de lui partager se lisait comme illisible. J'avais traité
  le symptôme dans l'app d'exemple ; le défaut était côté bibliothèque. En amont, ouvrir
  la session EST la connexion — aucune application n'attend un second appel.

Reste donc `configure({ … })`, plus `await ensureIdentity()` dont le site d'appel
survit à la migration : une application attendra toujours une session avant de rendre.

Le test étendu hier a fait son travail : les deux contrôles de contrat sont passés au
rouge sur `configureStoreRegistry`, `connectedUser` et `StoreRegistryDeps` dès que la
surface a bougé.

180 tests unitaires, e2e 40/40 (3,4 min) et applicatif 10/10 (0,8 min).

packages/sdk/README.md

@@ -5,10 +5,11 @@ One entry point. Most of what it publishes has the same signature as the future
 and is a drop-in for `@ng-org/web` / `@ng-org/orm`: as NextGraph matures it resolves to
 the real SDK (build alias removed) with no code change.
 
-**Four calls do not, and they are the whole of what you will delete:** `configure`,
-`configureStoreRegistry`, `setCurrentUser`, `connectedUser`. They exist because one
-shared wallet hosts every user; upstream, an application imports the SDK and each user
-opens their own wallet. `src/index.ts` groups them under a heading that says so.
+**One call does not, and it is the whole of what you will delete:** `configure`. It
+exists because one shared wallet hosts every user; upstream, an application imports the
+SDK and each user opens their own wallet. `src/index.ts` groups it under a heading that
+says so. (`ensureIdentity` is a second in substance — the shared-wallet gate — but its
+call site survives: an application still awaits a session before it renders.)
 
 *(There were two entry points until 2026-08-07, `.` and `./polyfill`, and the second one
 WAS that list. One door is easier to import from and says less — hence the grouping, and
@@ -27,13 +28,12 @@ Per-symbol, with the target signature and an epistemic label on every claim:
 import {
   // SDK-shaped — the real SDK replaces these in place.
   ensureIdentity, storeRegistry, inbox, readUnion, docs,
-  // Polyfill-era — these go away, and they are the whole of what goes away.
-  configure, configureStoreRegistry, setCurrentUser,
+  // Polyfill-era — one call, and it is the whole of what goes away.
+  configure,
 } from "@ng-eventually/sdk";
 
-configure({ ng: realNg, useShape: realUseShape, sharedWallet });
-configureStoreRegistry({ getSession });
-await ensureIdentity();                                  // who am I (shared wallet)
+configure({ ng: realNg, useShape: realUseShape, getSession, sharedWallet });
+await ensureIdentity();   // resolves who I am, and waits for the connection work
 const doc = await storeRegistry.createEntityDoc(me, "protected");
 await docs.sparqlUpdate(sid, `INSERT DATA { … }`, doc);
 const subjects = await readUnion(await storeRegistry.listMyEntityDocs(me, "protected"));