docs: chaque symbole dit d'où il vient

98 annotations posées à côté des déclarations, et un test qui les exige sur la
surface publiée. Elles portent trois choses : le niveau qui répond, la référence
amont, et la catégorie parmi les cinq.

La cinquième est celle qui manquait : declared-not-wired, quand la cible DÉFINIT
la forme et ne la câble pas. Neuf symboles en relèvent, dont readLinks — que
j'avais classé « notre invention » en raisonnant depuis l'absence, alors que
c'est le meilleur alignement disponible.

Les références citent un SYMBOLE, jamais une ligne : trois citations du document
avaient déjà pourri. Cinq corrections au passage, toutes vérifiées à la source —
un chemin ORM qui n'existe pas, deux plages de lignes fausses, et surtout
docs.* et subscribeDoc étiquetés PASSTHROUGH alors qu'ils sont alignés : nos
noms, plus un argument jamais transmis. La sémantique survit à la migration,
les sites d'appel non, et la nuance disparaissait sous une étiquette trop
flatteuse.

Le test échoue à l'annotation retirée, à la catégorie mal orthographiée, et à
une invention qui prétendrait citer une référence — vérifié en cassant les
trois. Il a aussi attrapé un défaut en lui-même : le gabarit de format placé
dans index.ts se faisait analyser comme une annotation.

La classification couvre l'interne qui prétend ressembler à la cible — tout
emulated-verifier — et exclut ce qui ne le prétend pas. La faute d'origine
portait sur une fonction non exportée ; n'être pas publié n'a protégé personne.

Quatre symboles ont résisté et sont annotés avec leur catégorie dominante, la
seconde nommée dans la note plutôt que lissée.

packages/polyfill/src/emulated-verifier/inbox-processor.ts

@@ -126,6 +126,7 @@ function fire(inbox: Nuri, process: () => Promise<void>): void {
  *
  * Idempotent inside the window: a second deposit into the same inbox joins the pending run.
  */
+// @provenance scheduleInboxProcessing kind=divergent level=1 ref=engine/verifier/src/verifier.rs:inbox — upstream the RECIPIENT's own verifier applies its inbox; here another identity's session drains it on a timer. Deliberate, unpublished, and only possible on one shared wallet
 export function scheduleInboxProcessing(inbox: Nuri, process: () => Promise<void>): void {
   if (scheduled.has(inbox)) return;
   const handle = setTimeout(() => fire(inbox, process), PROCESSING_DELAY_MS);
@@ -145,6 +146,7 @@ export function scheduleInboxProcessing(inbox: Nuri, process: () => Promise<void
  * Resolves rather than rejects, like the timer path it stands in for: a drain's failure is
  * reported where failures go, and a caller of this is not the party that asked for the work.
  */
+// @provenance runScheduledInboxProcessingNow kind=divergent level=1 ref=engine/verifier/src/verifier.rs:inbox — the same drain, run at once; a test seam over the divergence above
 export async function runScheduledInboxProcessingNow(): Promise<void> {
   for (const [inbox, entry] of [...scheduled]) {
     clearTimeout(entry.handle);
@@ -161,12 +163,14 @@ export async function runScheduledInboxProcessingNow(): Promise<void> {
  * session that no longer exists. In-flight runs are not cancelled (nothing can un-issue a
  * write already sent); they end where they end.
  */
+// @provenance cancelScheduledInboxProcessing kind=divergent level=1 ref=engine/verifier/src/verifier.rs:inbox — cancels a pending drain — upstream there is no pending anything to cancel
 export function cancelScheduledInboxProcessing(): void {
   for (const entry of scheduled.values()) clearTimeout(entry.handle);
   scheduled.clear();
 }
 
 /** Trace one completed drain — diagnostics, so gated by the access-log flag. */
+// @provenance traceProcessed kind=invention level=none ref=none — a diagnostic line in this package's own log stream
 export function traceProcessed(inbox: Nuri, holder: string, applied: number): void {
   logStage(
     "DEFERRED PROCESS " + shortNuri(inbox) + " for " + holder + " → " + applied + " link(s) applied",