refactor(vocabulary): les noms publiés parlent la langue de la cible, et un test le tient

La correction de nomenclature du 2026-07-30 — en amont un *wallet* n'est qu'un
trousseau, ce qui possède des stores est un **user** (un *site*) — s'était faite
à la main. `walletInbox` y a échappé et a vécu des semaines, en faisant des
dégâts : le nom rendait « une inbox par wallet » évident, masquant qu'un user en
a **deux** en amont (repos de store public et protected, les deux seuls
`AddInboxCap` du moteur). Une discipline appliquée à la main en oublie un ; un
test non.

D'où `test/vocabulary.test.ts` : tout nom publié est bâti sur des mots que la
CIBLE emploie — vérifiés dans `nextgraph-rs` — ou porte un marqueur disant
POURQUOI il n'existe qu'ici (`virtual`, `physical`, `shim`, `emulated`,
`polyfill`), ce qui dit aussi quand il disparaît. Un échec n'est pas « renommer
pour faire passer le test », c'est une question : la cible a-t-elle un mot pour
ça ? la chose n'existe-t-elle qu'ici ? le mot est-il vraiment de la glue ?

Ce que le test a trouvé, et les réponses :

- `walletInbox` → `userInbox`, avec l'écart de cardinalité écrit noir sur blanc
  plutôt que caché par le nom.
- `accounts` / `AccountRecord` / `AccountStorage` → `virtualUsers` /
  `VirtualUserRecord` / `VirtualUserStorage`, module `accounts.ts` →
  `virtual-users.ts`. « account » n'est pas de la cible : c'est notre mot pour
  l'utilisateur virtuel, et le marqueur le dit désormais.
- `readModel` → la fonction `readUnion`, exposée directement. « model » n'était
  ni de la cible ni de la glue, et le namespace ne tenait qu'une fonction.
- Le reste était du vocabulaire légitime à déclarer (`subject`, `base`,
  `schema`, `connected`, le modèle réactif de l'ORM).

Corrigé au passage, sur signalement du contrat interne : l'en-tête d'`open-repo`
justifiait son correctif par un mécanisme que le source contredit. Un repo absent
de `self.repos` lève bien `RepoNotFound`
(`engine/verifier/src/request_processor.rs:264,269`). Les 0 lignes observées
viennent d'ailleurs — `Verifier::load` repeuple `self.repos` depuis le stockage
sur un profil persistant (`verifier.rs:535-560`), et notre propre `readDoc`
attrape toute erreur et rend `[]`. Le correctif est bon, le diagnostic écrit à
côté ne l'était pas.

159 tests unitaires, typecheck src/test/e2e vert, e2e 40/40 contre le broker.

packages/client/src/surface/watch-shape.ts

@@ -21,7 +21,7 @@
  *      you can only follow links** (see docs/readcap-and-nuri-model.md §4ter-bis),
  *      and a link reaches you through an inbox or through a document you already
  *      hold. A document whose cap you were given is read by NAMING it
- *      (`readModel.readUnion`), not by turning up in a scope you never put it in.
+ *      (`readUnion`), not by turning up in a scope you never put it in.
  *   2. Open the docs (`ensureReposOpen`) — this AWAITS the sync BARRIER (first
  *      `State` per doc, `getSyncState` → `synced`, or `timed-out` on the bounded
  *      fallback). `isPending` holds until the barrier is reached for the current
@@ -218,7 +218,7 @@ export function watchShape<T = UnionSubject>(
    *  There is no "everything public" to fold in. You cannot discover; you can only
    *  follow links, and a link reaches you through an inbox or through a document
    *  you already hold — never through a shared index. A document someone gave you
-   *  the cap for is read by naming it (`readModel.readUnion`), not by appearing in
+   *  the cap for is read by naming it (`readUnion`), not by appearing in
    *  a scope you did not put it in. */
   async function resolveDocs(): Promise<Nuri[]> {
     const user = getCurrentUser();