docs: chaque symbole dit d'où il vient

98 annotations posées à côté des déclarations, et un test qui les exige sur la
surface publiée. Elles portent trois choses : le niveau qui répond, la référence
amont, et la catégorie parmi les cinq.

La cinquième est celle qui manquait : declared-not-wired, quand la cible DÉFINIT
la forme et ne la câble pas. Neuf symboles en relèvent, dont readLinks — que
j'avais classé « notre invention » en raisonnant depuis l'absence, alors que
c'est le meilleur alignement disponible.

Les références citent un SYMBOLE, jamais une ligne : trois citations du document
avaient déjà pourri. Cinq corrections au passage, toutes vérifiées à la source —
un chemin ORM qui n'existe pas, deux plages de lignes fausses, et surtout
docs.* et subscribeDoc étiquetés PASSTHROUGH alors qu'ils sont alignés : nos
noms, plus un argument jamais transmis. La sémantique survit à la migration,
les sites d'appel non, et la nuance disparaissait sous une étiquette trop
flatteuse.

Le test échoue à l'annotation retirée, à la catégorie mal orthographiée, et à
une invention qui prétendrait citer une référence — vérifié en cassant les
trois. Il a aussi attrapé un défaut en lui-même : le gabarit de format placé
dans index.ts se faisait analyser comme une annotation.

La classification couvre l'interne qui prétend ressembler à la cible — tout
emulated-verifier — et exclut ce qui ne le prétend pas. La faute d'origine
portait sur une fonction non exportée ; n'être pas publié n'a protégé personne.

Quatre symboles ont résisté et sont annotés avec leur catégorie dominante, la
seconde nommée dans la note plutôt que lissée.

packages/polyfill/src/shared-wallet/access-gate.ts

@@ -150,6 +150,7 @@ const URL_PARAM = "ng-id";
  * passes the VALUES here. A library that read `process.env` would impose its build
  * system on every consumer, and would be untestable with other values.
  */
+// @provenance SharedWalletConfig kind=invention level=none ref=none — describes what a DEPLOYMENT hands out for the one shared wallet; it goes with the gate
 export interface SharedWalletConfig {
   /** URL of the `.ngw` file served by the application's own bundle. */
   fileUrl: string;
@@ -555,6 +556,7 @@ async function resolveIdentity(): Promise<PrincipalId> {
  * application had to read the gate's own private storage key — a boundary no consumer
  * should be able to see, let alone depend on.
  */
+// @provenance ensureIdentity kind=invention level=none ref=none — nothing answers 'gate a shared wallet'. Upstream a user opens THEIR wallet and `session_start(wallet_name, user_id)` takes an id that came from it — so the CALL SITE survives, the substance does not
 export async function ensureIdentity(): Promise<PrincipalId> {
   const settled = await settleIdentity();
   refuseAWaitNothingCanEnd();

packages/polyfill/src/shared-wallet/account-registry.ts

@@ -968,6 +968,7 @@ async function scopeStoreNuri(scope: Scope): Promise<Nuri> {
  * store-id and builds no NURI. Use the returned value as both the read scope
  * (`useShape(shape, nuri)`) and the `@graph` write target.
  */
+// @provenance storeRegistry.resolveScopeGraph kind=aligned level=2 ref=sdk/js/web/src/index.ts:Session — `did:ng:` + `private_store_id | protected_store_id | public_store_id`, straight off the session
 export async function resolveScopeGraph(scope: Scope): Promise<Nuri> {
   return scopeStoreNuri(scope);
 }
@@ -1043,6 +1044,7 @@ const inboxCache = new Map<string, Nuri>();
  * At migration these become the site's native store inboxes and the resolution moves
  * there — the consumer-facing act (deposit to an inbox, process my own) is unchanged.
  */
+// @provenance userInbox kind=aligned level=1 ref=engine/verifier/src/site.rs:create_individual_ — a user's inboxes are its public and protected STORE repos' — the engine's only two `AddInboxCap` commits
 export async function userInbox(id: string, scope: InboxScope): Promise<Nuri> {
   const key = `${accountKey(id)}\u0000${scope}`;
   const cached = inboxCache.get(key);
@@ -1261,6 +1263,7 @@ export async function readUserStore(indexDoc: Nuri): Promise<Nuri[]> {
  * here). Idempotent via `ensureAccount`'s cache. At migration this becomes the
  * user's real per-scope store NURI (the container the store itself provides).
  */
+// @provenance userStoreDoc kind=aligned level=2 ref=sdk/js/web/src/index.ts:Session — the per-scope index document stands in for the store the session names directly
 export async function userStoreDoc(id: string, scope: Scope): Promise<Nuri> {
   const record = await ensureAccount(id);
   return storeOf(record, scope);

packages/polyfill/src/shared-wallet/bootstrap.ts

@@ -105,6 +105,7 @@ export interface StoreRegistryDeps {
  * carried two defects at once. Both remain substitutable through {@link StoreRegistryDeps},
  * which the published entry cannot reach.
  */
+// @provenance EventuallyConfig kind=invention level=none ref=none — nothing upstream takes an injected SDK; this is the shape of the build-alias, and it is on the deletion list
 export interface EventuallyConfig {
   /** The REAL `@ng-org/web` `ng` (injected to avoid a hard import / alias loop). */
   ng: NgLike;
@@ -188,6 +189,7 @@ function capsHolder(): PrincipalId | null {
  */
 let caps = new CapRegistry(capsHolder);
 
+// @provenance configure kind=invention level=none ref=none — same — the whole call disappears at migration, when the consumer initialises the real SDK directly
 export function configure(c: EventuallyConfig): void {
   cfg = c;
   // Not taken from the config: an application never supplies its own identity — upstream