docs: nommer par la fonction, et n'annoncer qu'un point d'entrée

Deux corrections indépendantes dans la doc vivante, les briefs et décisions
datés restant tels qu'écrits.

P1a et P1b ne disaient rien à personne. Six mois plus tard il aurait fallu lire
le code pour savoir de quoi on parle, et le coût de la recherche se repaie à
chaque lecture. Ils deviennent cap-surface — la forme des capacités, livrée le
2026-07-28 — et cap-enforcement — ce qui reste : le chiffrement par document et
les gardes d'écriture aujourd'hui décoratives. 28 occurrences.

Et api-contract.md se contredisait à quatre lignes d'intervalle : il annonçait
deux points d'entrée en tête, et en bas qu'il n'y en a qu'un depuis la fusion du
2026-08-07. Vérifié dans package.json avant d'écrire — exports mappe exactement
{".": "./src/index.ts"} et src/polyfill.ts n'existe pas.

Ce qui identifie un symbole polyfill-era ne change pas : le bloc marqué dans
src/index.ts et le test de vocabulaire, plus aucun chemin d'import.

docs/migration-guide.md

@@ -14,7 +14,7 @@ has no clear target image, that is a drift signal (see
 ## Checklist
 
 ### 1. Emulated ReadCaps → real capabilities
-The shape is already the target's (P1a): a `ReadCap` is the document's key, a
+The shape is already the target's (the cap-surface work): a `ReadCap` is the document's key, a
 each identity holds a set of caps, and there is no read-ACL anywhere. So
 this step swaps the *emulated* key for the real one, not the model:
 
@@ -41,7 +41,7 @@ this step swaps the *emulated* key for the real one, not the model:
   whose cap the wallet holds. Remove them.
 - The write guard (`surface/ng-proxy.ts` `sparql_update` override) is a separate axis and
   is decorative today (every internal writer bypasses the proxy); it belongs to the
-  P1b batch, not here.
+  cap-enforcement batch, not here.
 
 The access unit is already the document (`@graph`), matching the native per-repo cap
 model, so this is a key-material step, not a reshape.
@@ -103,7 +103,7 @@ the POLYFILL-ERA block of `@ng-eventually/polyfill` — is deleted. The lib itse
 
 ## The one break already taken: `declareConnections`
 
-P1a broke the consumer once, deliberately and early, so that migration would not.
+The cap-surface work broke the consumer once, deliberately and early, so that migration would not.
 The old surface was an ACL held in memory, which forced the consumer to re-declare
 every grant on every session (`declareConnections`). That call **disappears**: with
 delivered caps the grant moves to the moment a connection is *accepted* — one