refactor(vocabulary): les noms publiés parlent la langue de la cible, et un test le tient

La correction de nomenclature du 2026-07-30 — en amont un *wallet* n'est qu'un
trousseau, ce qui possède des stores est un **user** (un *site*) — s'était faite
à la main. `walletInbox` y a échappé et a vécu des semaines, en faisant des
dégâts : le nom rendait « une inbox par wallet » évident, masquant qu'un user en
a **deux** en amont (repos de store public et protected, les deux seuls
`AddInboxCap` du moteur). Une discipline appliquée à la main en oublie un ; un
test non.

D'où `test/vocabulary.test.ts` : tout nom publié est bâti sur des mots que la
CIBLE emploie — vérifiés dans `nextgraph-rs` — ou porte un marqueur disant
POURQUOI il n'existe qu'ici (`virtual`, `physical`, `shim`, `emulated`,
`polyfill`), ce qui dit aussi quand il disparaît. Un échec n'est pas « renommer
pour faire passer le test », c'est une question : la cible a-t-elle un mot pour
ça ? la chose n'existe-t-elle qu'ici ? le mot est-il vraiment de la glue ?

Ce que le test a trouvé, et les réponses :

- `walletInbox` → `userInbox`, avec l'écart de cardinalité écrit noir sur blanc
  plutôt que caché par le nom.
- `accounts` / `AccountRecord` / `AccountStorage` → `virtualUsers` /
  `VirtualUserRecord` / `VirtualUserStorage`, module `accounts.ts` →
  `virtual-users.ts`. « account » n'est pas de la cible : c'est notre mot pour
  l'utilisateur virtuel, et le marqueur le dit désormais.
- `readModel` → la fonction `readUnion`, exposée directement. « model » n'était
  ni de la cible ni de la glue, et le namespace ne tenait qu'une fonction.
- Le reste était du vocabulaire légitime à déclarer (`subject`, `base`,
  `schema`, `connected`, le modèle réactif de l'ORM).

Corrigé au passage, sur signalement du contrat interne : l'en-tête d'`open-repo`
justifiait son correctif par un mécanisme que le source contredit. Un repo absent
de `self.repos` lève bien `RepoNotFound`
(`engine/verifier/src/request_processor.rs:264,269`). Les 0 lignes observées
viennent d'ailleurs — `Verifier::load` repeuple `self.repos` depuis le stockage
sur un profil persistant (`verifier.rs:535-560`), et notre propre `readDoc`
attrape toute erreur et rend `[]`. Le correctif est bon, le diagnostic écrit à
côté ne l'était pas.

159 tests unitaires, typecheck src/test/e2e vert, e2e 40/40 contre le broker.

packages/client/test/cross-user-access.test.ts

@@ -22,7 +22,7 @@ import {
   createEntityDoc,
   openDocumentInbox,
   resetRegistryCache,
-  walletInbox,
+  userInbox,
 } from "../src/shared-wallet/account-registry";
 import { documentInboxAddress } from "../src/emulated-verifier/branch-registers";
 import type { RegistrySession } from "../src/shared-wallet/account-registry";
@@ -263,7 +263,7 @@ test("Bob: reads the public document, sees the reference, and cannot read throug
 test("Charlie: same public document, same reference — and he reads through it", async () => {
   inject();
   const { protDoc, pubDoc, pubLink, protCap } = await aliceSetsUpHerDocuments();
-  const CHARLIE_INBOX = await walletInbox("charlie");
+  const CHARLIE_INBOX = await userInbox("charlie");
 
   // Alice decides Charlie may read that ONE document, and delivers its cap to his
   // inbox. She names no principal to the registry; she addresses an inbox.
@@ -283,7 +283,7 @@ test("Charlie: same public document, same reference — and he reads through it"
 test("the ONLY difference between Bob and Charlie is each of them holds", async () => {
   inject();
   const { protDoc, pubLink, protCap } = await aliceSetsUpHerDocuments();
-  const CHARLIE_INBOX = await walletInbox("charlie");
+  const CHARLIE_INBOX = await userInbox("charlie");
 
   setCurrentUser("alice");
   await shareCap(protCap, CHARLIE_INBOX);
@@ -306,7 +306,7 @@ test("the ONLY difference between Bob and Charlie is each of them holds", async
 test("dynamic: a cap delivered to Bob's inbox makes the refused document readable, and signals it", async () => {
   inject();
   const { pubDoc, pubLink, protCap } = await aliceSetsUpHerDocuments();
-  const BOB_INBOX = await walletInbox("bob");
+  const BOB_INBOX = await userInbox("bob");
 
   setCurrentUser("bob");
   getCaps().learn(pubLink);
@@ -362,7 +362,7 @@ test("a bare reference to the PUBLIC document is not enough either — the link
 test("a Link is APPLIED durably: the cap survives with the inbox emptied", async () => {
   const ng = inject();
   const { protDoc, protCap } = await aliceSetsUpHerDocuments();
-  const bobInbox = await walletInbox("bob");
+  const bobInbox = await userInbox("bob");
 
   setCurrentUser("alice");
   await shareCap(protCap, bobInbox);
@@ -407,7 +407,7 @@ test("a document has its own inbox: anyone deposits, only the owner reads", asyn
   setCurrentUser("alice");
   const doc = await createEntityDoc("alice", "public");
   const aliceInbox = await openDocumentInbox(doc);
-  expect(aliceInbox).not.toBe(await walletInbox("alice"));
+  expect(aliceInbox).not.toBe(await userInbox("alice"));
   const link = capFor(doc)!; // the repo link alice circulates — links DO travel
 
   // Bob RESOLVES the address himself, from the document. The only thing he is handed
@@ -498,7 +498,7 @@ test("connecting drains BOTH levels: the user's inbox and its documents'", async
   const protDoc = await createEntityDoc("alice", "protected");
   const pubDoc = await createEntityDoc("alice", "public");
   const docInbox = await openDocumentInbox(pubDoc);
-  const aliceInbox = await walletInbox("alice");
+  const aliceInbox = await userInbox("alice");
 
   // Two deposits, one at each level, both made by someone else.
   setCurrentUser("carol");
@@ -520,8 +520,8 @@ test("connecting drains BOTH levels: the user's inbox and its documents'", async
 test("a third party resolves another user's inbox (the wallet level)", async () => {
   inject();
   setCurrentUser("alice");
-  const aliceView = await walletInbox("alice");
+  const aliceView = await userInbox("alice");
   setCurrentUser("bob");
-  const bobView = await walletInbox("alice");
+  const bobView = await userInbox("alice");
   expect(bobView).toBe(aliceView);
 });