feat(inbox): un utilisateur a DEUX inboxes, comme en amont

Tranché par la cascade plutôt qu'en attendant une réponse : le niveau 3 (ORM) ne
dit rien des inbox, le niveau 2 non plus — `@ng-org/web` n'expose aucune méthode
contenant « inbox » et la session n'en publie aucune. C'est donc le modèle du
moteur qui décide, et il dit DEUX : un site porte une inbox sur son repo de store
public et une autre sur son protégé (`engine/verifier/src/site.rs:127-152`), les
seuls `AddInboxCap` du moteur, `new_store_default` n'en posant une que
`if !private`. Elles sont adressées séparément jusque dans les enregistrements de
contact, qui choisissent leur prédicat selon le profil visé — `ng:site_inbox` pour
un profil public, `ng:protected_inbox` sinon
(`engine/verifier/src/inbox_processor.rs:787,823-824`).

`userInbox(id)` en exposait une : une cardinalité que cette bibliothèque avait
inventée, et que le nom `walletInbox` avait contribué à masquer. Elle prend
désormais le scope, et le store PRIVÉ n'en a pas — d'où `InboxScope` plutôt que
`Scope` : demander l'inbox privée n'est pas une recherche qui ne rend rien, c'est
une question sans référent dans le modèle, et le type l'interdit.

`myInboxes` énumère les deux, `isOwnInbox` reconnaît les deux. Le shim garde un
triple par (user, scope).

160 tests unitaires, typecheck src/test/e2e vert, e2e 40/40 contre le broker.

packages/client/test/store-registry.test.ts

@@ -248,11 +248,11 @@ test("resolveScopeGraph maps scopes to native store NURIs (no store-id leaks to
   // docCreate), not the private-store root, so deposits never bloat the shim graph.
   // Stable per wallet, and DISJOINT between wallets: reading someone else's inbox
   // would collect the caps addressed to them (see inbox.ts's read guard).
-  const mine = await userInbox("@alice");
+  const mine = await userInbox("@alice", "protected");
   expect(mine).toMatch(/^did:ng:o:doc/);
   expect(mine).not.toBe("did:ng:PRIV");
-  expect(await userInbox("@alice")).toBe(mine); // stable
-  expect(await userInbox("@bob")).not.toBe(mine); // another wallet, another inbox
+  expect(await userInbox("@alice", "protected")).toBe(mine); // stable
+  expect(await userInbox("@bob", "protected")).not.toBe(mine); // another wallet, another inbox
 });
 
 test("resolveScopeGraph falls back to the private store when no protected id is injected", async () => {
@@ -379,3 +379,18 @@ test("normalizeId defaults to trim when not provided", async () => {
   expect(b).toEqual(a);
   expect(ng.doc_create).toHaveBeenCalledTimes(4); // 1 doc-shim + 3 scope docs
 });
+
+test("a user has TWO inboxes — public and protected — and they are distinct documents", async () => {
+  // Upstream a site carries an inbox on its public store repo and another on its
+  // protected one (`engine/verifier/src/site.rs:127-152`), addressed separately down to
+  // the contact predicates (`ng:site_inbox` vs `ng:protected_inbox`). Exposing one was a
+  // cardinality this library invented; neither the ORM nor the wasm binding says
+  // anything about inboxes, so the engine's model is what decides.
+  resetRegistryCache();
+  const pub = await userInbox("@dana", "public");
+  const prot = await userInbox("@dana", "protected");
+  expect(pub).not.toBe(prot);
+  // …and each is stable for its own scope.
+  expect(await userInbox("@dana", "public")).toBe(pub);
+  expect(await userInbox("@dana", "protected")).toBe(prot);
+});