docs: chaque symbole dit d'où il vient

98 annotations posées à côté des déclarations, et un test qui les exige sur la
surface publiée. Elles portent trois choses : le niveau qui répond, la référence
amont, et la catégorie parmi les cinq.

La cinquième est celle qui manquait : declared-not-wired, quand la cible DÉFINIT
la forme et ne la câble pas. Neuf symboles en relèvent, dont readLinks — que
j'avais classé « notre invention » en raisonnant depuis l'absence, alors que
c'est le meilleur alignement disponible.

Les références citent un SYMBOLE, jamais une ligne : trois citations du document
avaient déjà pourri. Cinq corrections au passage, toutes vérifiées à la source —
un chemin ORM qui n'existe pas, deux plages de lignes fausses, et surtout
docs.* et subscribeDoc étiquetés PASSTHROUGH alors qu'ils sont alignés : nos
noms, plus un argument jamais transmis. La sémantique survit à la migration,
les sites d'appel non, et la nuance disparaissait sous une étiquette trop
flatteuse.

Le test échoue à l'annotation retirée, à la catégorie mal orthographiée, et à
une invention qui prétendrait citer une référence — vérifié en cassant les
trois. Il a aussi attrapé un défaut en lui-même : le gabarit de format placé
dans index.ts se faisait analyser comme une annotation.

La classification couvre l'interne qui prétend ressembler à la cible — tout
emulated-verifier — et exclut ce qui ne le prétend pas. La faute d'origine
portait sur une fonction non exportée ; n'être pas publié n'a protégé personne.

Quatre symboles ont résisté et sont annotés avec leur catégorie dominante, la
seconde nommée dans la note plutôt que lissée.

packages/polyfill/src/surface/subscribe.ts

@@ -45,6 +45,7 @@ import type { Nuri, NuriLike } from "../model/types";
  * change SIGNAL (re-query on change — the read-model pattern), so this stays
  * permissive rather than modelling every AppResponse variant.
  */
+// @provenance DocChange kind=aligned level=1 ref=engine/net/src/app_protocol.rs:AppResponseV0 — the raw serialized response, left `unknown` rather than modelling every variant
 export type DocChange = unknown;
 
 /**
@@ -58,6 +59,7 @@ export type DocChange = unknown;
  * `TabInfo`/`Patch` pushes — see `open-repo.ts`. Most callers ignore it and use
  * any push as a plain change signal.
  */
+// @provenance DocChangeType kind=aligned level=1 ref=engine/net/src/app_protocol.rs:AppResponseV0 — the variant discriminant; a bare string because the enum is open (State | Patch | TabInfo | …)
 export type DocChangeType = string | undefined;
 
 /**
@@ -67,6 +69,7 @@ export type DocChangeType = string | undefined;
  * is not a recognisable `{ V0: { <Variant>: … } }` object. Inspects the variant
  * proplerly (no `any`-cast to force it) so a `State` push is identifiable.
  */
+// @provenance docChangeType kind=aligned level=1 ref=engine/net/src/app_protocol.rs:AppResponseV0 — reads the variant key out of the payload — a convenience over a verified shape, not an upstream call
 export function docChangeType(resp: DocChange): DocChangeType {
   if (!resp || typeof resp !== "object") return undefined;
   const outer = resp as { V0?: unknown; v0?: unknown };
@@ -77,6 +80,7 @@ export function docChangeType(resp: DocChange): DocChangeType {
 }
 
 /** An unsubscribe function — idempotent (calling it twice is a no-op). */
+// @provenance Unsubscribe kind=aligned level=2 ref=sdk/js/lib-wasm/src/lib.rs:doc_subscribe — upstream resolves to this function; ours is returned synchronously
 export type Unsubscribe = () => void;
 
 async function sessionId(): Promise<string | number> {
@@ -102,6 +106,7 @@ async function sessionId(): Promise<string | number> {
  *
  * Calls the REAL injected `ng.doc_subscribe` directly (never `makeNg`).
  */
+// @provenance subscribeDoc kind=aligned level=2 ref=sdk/js/lib-wasm/src/lib.rs:doc_subscribe — two deliberate deltas: the unsubscribe is returned synchronously, and the callback gets a pre-extracted `type`
 export function subscribeDoc(
   nuriLike: NuriLike,
   onChange: (r: DocChange, type: DocChangeType) => void,
@@ -118,6 +123,7 @@ export function subscribeDoc(
  * owns the machinery's entire privileged door — and for nobody else. It is not
  * re-exported by either entry point; the `Unguarded` suffix is the warning.
  */
+// @provenance subscribeDocUnguarded kind=aligned level=2 ref=sdk/js/lib-wasm/src/lib.rs:doc_subscribe — the same call without the reach guard; internal, never published
 export function subscribeDocUnguarded(
   nuri: Nuri,
   onChange: (r: DocChange, type: DocChangeType) => void,
@@ -177,6 +183,7 @@ export function subscribeDocUnguarded(
  * ORM fan-out hang — do NOT replace this with `orm_start_graph(graphs:[…])`). The
  * set is deduplicated; an empty set returns a no-op unsubscribe.
  */
+// @provenance subscribeDocs kind=aligned level=2 ref=sdk/js/lib-wasm/src/lib.rs:doc_subscribe — client-side composition with per-doc error isolation; `orm_start_graph` is deliberately unused — it aborts wholesale on one RepoNotFound
 export function subscribeDocs(
   nuris: Nuri[],
   onChange: (nuri: Nuri, r: DocChange, type: DocChangeType) => void,