docs: chaque symbole dit d'où il vient

98 annotations posées à côté des déclarations, et un test qui les exige sur la
surface publiée. Elles portent trois choses : le niveau qui répond, la référence
amont, et la catégorie parmi les cinq.

La cinquième est celle qui manquait : declared-not-wired, quand la cible DÉFINIT
la forme et ne la câble pas. Neuf symboles en relèvent, dont readLinks — que
j'avais classé « notre invention » en raisonnant depuis l'absence, alors que
c'est le meilleur alignement disponible.

Les références citent un SYMBOLE, jamais une ligne : trois citations du document
avaient déjà pourri. Cinq corrections au passage, toutes vérifiées à la source —
un chemin ORM qui n'existe pas, deux plages de lignes fausses, et surtout
docs.* et subscribeDoc étiquetés PASSTHROUGH alors qu'ils sont alignés : nos
noms, plus un argument jamais transmis. La sémantique survit à la migration,
les sites d'appel non, et la nuance disparaissait sous une étiquette trop
flatteuse.

Le test échoue à l'annotation retirée, à la catégorie mal orthographiée, et à
une invention qui prétendrait citer une référence — vérifié en cassant les
trois. Il a aussi attrapé un défaut en lui-même : le gabarit de format placé
dans index.ts se faisait analyser comme une annotation.

La classification couvre l'interne qui prétend ressembler à la cible — tout
emulated-verifier — et exclut ce qui ne le prétend pas. La faute d'origine
portait sur une fonction non exportée ; n'être pas publié n'a protégé personne.

Quatre symboles ont résisté et sont annotés avec leur catégorie dominante, la
seconde nommée dans la note plutôt que lissée.

packages/polyfill/src/model/types.ts

@@ -8,6 +8,7 @@
  * `did:ng:` is the URI scheme prefix, not a "without cap" marker; the discriminant
  * is the `:r:` segment (see {@link ReadCap}).
  */
+// @provenance Nuri kind=aligned level=1 ref=engine/net/src/app_protocol.rs:NuriV0 — the cap-less reference form upstream's parser accepts; `:r:` is the cap-bearing discriminant
 export type Nuri = `did:ng:${string}`;
 
 /**
@@ -31,14 +32,17 @@ export type Nuri = `did:ng:${string}`;
  * out. The runtime checks stay regardless — a JavaScript consumer never meets the
  * compiler, and a cast bypasses it.
  */
+// @provenance ReadCap kind=aligned level=1 ref=engine/repo/src/types.rs:readcap_nuri — the `r:` segment and its one-opaque-segment encoding are upstream's; the key material is a stand-in constant
 export type ReadCap = `did:ng:${string}:r:${string}`;
 
 /** NextGraph-native store scopes. The *mapping* of entities to scopes is the
  *  consumer's concern; this layer only knows the three scopes exist. */
+// @provenance Scope kind=aligned level=1 ref=engine/repo/src/types.rs:from_type_and_repo — upstream's store types; `group` is omitted here and `dialog` is `unimplemented!()` upstream
 export type Scope = "public" | "protected" | "private";
 
 /** The current identity id. Target: the wallet user (`session.user`). Polyfill:
  *  a chosen id, because everyone shares one wallet. */
+// @provenance PrincipalId kind=divergent level=1 ref=engine/repo/src/types.rs:UserId — upstream a user id is a PubKey obtained FROM the wallet; here it is a chosen name, because one wallet hosts every identity
 export type PrincipalId = string;
 
 /**
@@ -48,9 +52,11 @@ export type PrincipalId = string;
  * makes the wrapper testable with a fake. Permissive on purpose: the real `ng`
  * carries non-function members too, so we accept any property bag.
  */
+// @provenance NgLike kind=invention level=none ref=none — nothing upstream is injected; the type exists only to describe what `configure` receives
 export type NgLike = Record<string, any>;
 
 /** Loose shape of `@ng-org/orm`'s `useShape` (a generic hook). */
+// @provenance UseShapeLike kind=invention level=none ref=none — same, for the injected `useShape`
 export type UseShapeLike = (...args: any[]) => any;
 
 /**
@@ -76,6 +82,8 @@ export type UseShapeLike = (...args: any[]) => any;
  * So: precise on the way out, permissive on the way in, and validated inside
  * (`assertNuri`). The guards remain, internal, where the validation happens.
  */
+// @provenance NuriLike kind=aligned level=2 ref=sdk/js/lib-wasm/src/lib.rs:doc_subscribe — the binding takes `repo_o: String`, so permissive-in matches the target's own door
 export type NuriLike = Nuri | string;
 
+// @provenance InboxScope kind=aligned level=1 ref=engine/verifier/src/verifier.rs:new_store_default — an inbox is attached only `if !private`, so the private scope cannot carry one
 export type InboxScope = Extract<Scope, "public" | "protected">;