refactor(layout): ranger les modules par destin à la migration

Les 25 modules étaient à plat, nommés d'après ce qu'ils font mécaniquement
(`store-registry`, `read-model`, `reach`, `caps`). Rien dans l'arborescence ne
disait lesquels DEVIENDRONT le vrai SDK, lesquels tiennent lieu du travail que
le verifier fera nativement, et lesquels n'existent que parce qu'un wallet est
partagé — trois destins sans rapport.

Quatre dossiers, les deux fichiers d'entrée restant à la racine pour que
l'`exports` du paquet et le code du consommateur ne bougent pas :

- `model/` — le modèle d'adressage de la cible, transcrit : vocabulaire pur,
  pas d'I/O. Survit comme connaissance.
- `surface/` — ce que l'app touche, chaque symbole ayant un pendant cible
  documenté. Supprimé quand l'alias bascule ; le code de l'app est inchangé.
- `emulated-verifier/` — les doublures de ce que le verifier fait nativement :
  possession, dépôt des caps, frontière, non-livraison, traitement des inbox,
  registres de branche, ouverture de repo. **C'est le dossier où diverger du
  modèle est possible.** Le préfixe `emulated-` porte le sens : tient lieu de,
  jamais est — cette bibliothèque ne réside dans aucune couche de la cible,
  elle les référence.
- `shared-wallet/` — n'existe que parce qu'un wallet héberge toutes les
  identités. Aucun pendant, rien sur quoi s'aligner ; sa seule loi est de
  rester invisible depuis `surface/`. S'évapore, remplacé par rien.

`store-registry-api.ts` devient `surface/placement.ts` : il faisait déjà à la
main ce que la frontière de dossier fait structurellement — c'est la meilleure
preuve interne du bien-fondé de ce rangement.

Ce commit ne fait que déplacer et recâbler les imports (src, test, e2e). Les
scissions des modules à cheval suivent.

157 tests unitaires, typecheck src/test/e2e vert.

packages/client/src/surface/placement.ts

@@ -0,0 +1,37 @@
+/**
+ * The app-facing slice of `store-registry` — and the reason it exists as a file.
+ *
+ * `store-registry.ts` holds two things that must not be exported together: the
+ * placement/addressing calls a consumer application legitimately makes, and the
+ * shim machinery that makes virtual users work at all (account resolution, the
+ * durable cap registers, the inbox-ownership predicate, cache resets). Until now
+ * `index.ts` did `export * as storeRegistry from "../shared-wallet/account-registry"` and shipped
+ * both, so an application could reach `ensureAccount`, `addLink` or
+ * `resetRegistryCache` from the SDK-identical entry — machinery it must never call,
+ * on the entry whose whole promise is "this survives migration unchanged".
+ *
+ * What is re-exported here is only what an application needs to do its own work,
+ * and each has a target-SDK counterpart (see `docs/api-contract.md`). Everything
+ * else stays reachable at `./store-registry` for the library's own modules, the
+ * unit tests and the e2e harness — an internal path, not a published one.
+ *
+ * At migration this file disappears: placement becomes the user's real per-scope
+ * stores and the calls below become native SDK ones.
+ */
+
+export {
+  /** Create a document for ONE entity in `scope`, and record it in that scope's store. */
+  createEntityDoc,
+  /** The entity documents this user owns in `scope` — with their caps recovered. */
+  listMyEntityDocs,
+  /** The NURI to use as a READ scope for `scope` (what `useShape` is pointed at). */
+  resolveScopeGraph,
+  /** The NURI where GROUPED entities of `scope` are written (no per-entity document). */
+  resolveWriteGraph,
+  /** A user's own inbox — where caps and messages addressed to THEM arrive. */
+  walletInbox,
+  /** Open an inbox on a document you OWN, so others can deposit into it. */
+  openDocumentInbox,
+  /** WHERE to deposit for a document — readable by any holder of it. `undefined` if none. */
+  documentInboxAddress,
+} from "../shared-wallet/account-registry";