docs: chaque symbole dit d'où il vient

98 annotations posées à côté des déclarations, et un test qui les exige sur la
surface publiée. Elles portent trois choses : le niveau qui répond, la référence
amont, et la catégorie parmi les cinq.

La cinquième est celle qui manquait : declared-not-wired, quand la cible DÉFINIT
la forme et ne la câble pas. Neuf symboles en relèvent, dont readLinks — que
j'avais classé « notre invention » en raisonnant depuis l'absence, alors que
c'est le meilleur alignement disponible.

Les références citent un SYMBOLE, jamais une ligne : trois citations du document
avaient déjà pourri. Cinq corrections au passage, toutes vérifiées à la source —
un chemin ORM qui n'existe pas, deux plages de lignes fausses, et surtout
docs.* et subscribeDoc étiquetés PASSTHROUGH alors qu'ils sont alignés : nos
noms, plus un argument jamais transmis. La sémantique survit à la migration,
les sites d'appel non, et la nuance disparaissait sous une étiquette trop
flatteuse.

Le test échoue à l'annotation retirée, à la catégorie mal orthographiée, et à
une invention qui prétendrait citer une référence — vérifié en cassant les
trois. Il a aussi attrapé un défaut en lui-même : le gabarit de format placé
dans index.ts se faisait analyser comme une annotation.

La classification couvre l'interne qui prétend ressembler à la cible — tout
emulated-verifier — et exclut ce qui ne le prétend pas. La faute d'origine
portait sur une fonction non exportée ; n'être pas publié n'a protégé personne.

Quatre symboles ont résisté et sont annotés avec leur catégorie dominante, la
seconde nommée dans la note plutôt que lissée.

packages/polyfill/src/emulated-verifier/open-repo.ts

@@ -85,6 +85,7 @@ import type { Nuri } from "../model/types";
  *   - `"timed-out"` fallback fired without a `State` — open proceeded, sync UNconfirmed;
  * `"unknown"` (from {@link getSyncState}) means "never requested / no `State` semantics".
  */
+// @provenance SyncState kind=aligned level=1 ref=engine/net/src/app_protocol.rs:AppResponseV0 — the first `State` push IS the barrier; `timed-out` names the bounded fallback and is deliberately not `synced`
 export type SyncState = "syncing" | "synced" | "timed-out";
 
 /** Repos whose bootstrap open has completed (first `State` received OR timed out). */
@@ -114,12 +115,14 @@ let OPEN_TIMEOUT_MS = 8000;
  * 8s production wait, too slow for a unit test. Production never calls this — the
  * default stands. `resetOpenedRepos` restores the default.
  */
+// @provenance setOpenTimeoutForTests kind=invention level=none ref=none — a test seam over the bounded fallback
 export function setOpenTimeoutForTests(ms: number): void {
   OPEN_TIMEOUT_MS = ms;
 }
 
 /** Reset the open registry (mainly for tests / a switched wallet). Tears down the
  *  held bootstrap subscriptions so a subsequent open re-subscribes cleanly. */
+// @provenance resetOpenedRepos kind=invention level=none ref=none — per-session bookkeeping reset; upstream the verifier owns `self.repos` and nothing resets it from outside
 export function resetOpenedRepos(): void {
   for (const unsub of held.values()) {
     try {
@@ -145,6 +148,7 @@ export function resetOpenedRepos(): void {
  * `"timed-out"` (fallback fired without a `State`). `"synced"` and `"timed-out"`
  * are deliberately distinct — a later readiness signal must not confuse them.
  */
+// @provenance getSyncState kind=aligned level=1 ref=engine/net/src/app_protocol.rs:AppResponseV0 — reports whether the first `State` arrived; upstream this is not observable from JS
 export function getSyncState(nuri: Nuri): SyncState | "unknown" {
   return syncState.get(nuri) ?? "unknown";
 }
@@ -184,6 +188,7 @@ async function syncSession(): Promise<void> {
  * another holder would put a cap in the wrong ring, and a caller on that path has already
  * established what its holder holds.
  */
+// @provenance ensureRepoOpen kind=aligned level=2 ref=sdk/js/lib-wasm/src/lib.rs:doc_subscribe — a real subscription held for the session — upstream `doc_subscribe` is what brings a repo into `self.repos`, which `resolve_target_for_sparql` then requires
 export async function ensureRepoOpen(nuri: Nuri, holderKey?: string): Promise<void> {
   if (!nuri) return;
   // A repo in a PUBLIC store hands its cap to whoever asks — upstream by serving it on
@@ -204,6 +209,7 @@ export async function ensureRepoOpen(nuri: Nuri, holderKey?: string): Promise<vo
  * for nobody else; neither entry point re-exports it. The `Unguarded` suffix is the
  * warning, and the single importer is what keeps it honest.
  */
+// @provenance openRepoUnguarded kind=aligned level=2 ref=sdk/js/lib-wasm/src/lib.rs:doc_subscribe — the same open without the reach guard; internal
 export async function openRepoUnguarded(nuri: Nuri): Promise<void> {
   // Drop the registry if the session changed (in-page re-login → fresh verifier).
   await syncSession();
@@ -274,6 +280,7 @@ export async function openRepoUnguarded(nuri: Nuri): Promise<void> {
  * Open a SET of repos before an anchored batch read, in parallel, each tolerant
  * ({@link ensureRepoOpen} never throws). Empty / falsy entries are ignored.
  */
+// @provenance ensureReposOpen kind=aligned level=2 ref=sdk/js/lib-wasm/src/lib.rs:doc_subscribe — the batch form, with per-doc isolation
 export async function ensureReposOpen(nuris: Nuri[]): Promise<void> {
   const unique = [...new Set(nuris.filter(Boolean))];
   if (unique.length === 0) return;