fix(caps): créer un document en donne le cap, + corriger 9 faits NextGraph

Le trou trouvé par l'e2e contre le broker en ligne : `docs.docCreate` ne
déposait aucun cap pour le créateur, donc un consommateur pouvait créer un
document par la primitive publique puis se voir refuser sa lecture et son
écriture. En amont c'est impossible — `doc_create` commite
`AddRepo { read_cap }` sur la branche Store du store, et le créateur le détient
dès le premier instant. Délibérément non répliqué dans `physical.ts` : les
documents du shim n'appartiennent à aucun utilisateur virtuel, et
`store-registry` classe leurs caps là où il sait à qui ils sont.

e2e : 22 passés / 8 échoués → 39 / 0. Les autres échecs venaient du harnais,
qui agissait comme une seconde identité sans l'établir, ou lisait un document
quelconque comme une inbox. Un run e2e contre un wallet persistant exige une
identité FRAÎCHE par run : `walletInbox(id)` rend l'inbox stable pour son
propriétaire — c'est son intérêt — donc un id fixe accumule les dépôts des runs
précédents (vert au 2e run, rouge au 3e, à code inchangé).

Revue adverse de la documentation, 9 défauts, tous vérifiés à la source avant
correction :

- « chaque document a une inbox native » est FAUX. Seuls les repos de store
  public et protected en ont une (`site.rs:128,149`) ; `new_store_default` n'en
  pose que `if !private` et `doc_create` laisse `inbox: None`. Le store privé
  n'en a pas non plus. Ce que le code fait est donc une ANTICIPATION — assumée
  et notée comme telle dans `documentInbox`, le brief et l'ADR discovery. Ce qui
  est vérifié, c'est la FORME : `AddInboxCapV0` est clé par `repo_id`.
- `InboxMsgContent::Link` est une variante unit sans charge utile : l'inbox ne
  transporte aucun ReadCap. `shareCap` était juste et le reste ; ses citations
  sont complétées aux deux bouts (émetteur `unimplemented!()`, récepteur qui
  ignore `details.read_cap`).
- les 3 stores appartiennent au user (`SiteV0`), pas au wallet ;
- le TODO `OpenRepo` ne concerne pas la lecture cross-wallet — il est dans
  `open_branch_`, après `RepoNotFound` ; charger par cap, c'est
  `load_repo_from_read_cap` ;
- la liste des méthodes JS était un sous-ensemble présenté comme la surface
  (77 exportées) ;
- `outbox-log.ts` n'enregistre rien : il inspecte l'outbox du SDK ;
- l'ADR private-store-nuri-scope citait `orm_start_graph` au présent, remplacé
  par `ensureRepoOpen` ;
- l'incident write-loss plaçait `disconnections_sender.send` dans `broker.rs` ;
- la section « Apps & services » n'a aucune citation et rien ne lui correspond
  dans le moteur : marquée à re-confirmer, pas à citer comme vérifiée.

Aussi : `fileOwnCaps` n'existe plus (`holdOwnCap` / `readStoreCaps` /
`fileOwnStructure`) — pointeur mort corrigé dans `caps.ts`.

docs/decisions/discovery-model.md

@@ -13,6 +13,8 @@
 >
 > **`discovery.ts` and its tests were removed on 2026-07-30**, along with `watchShape`'s public-scope fold and `INDEX_ACCOUNT`. See [`../briefs/2026-07-30-virtual-wallet-boundary.md`](../briefs/2026-07-30-virtual-wallet-boundary.md).
 >
+> One factual error below is worth naming so it is not carried into a future design: *"a native inbox (a primitive present on every document)"* is **false**. No document has an inbox upstream — only the public and protected STORE repos do (`engine/verifier/src/site.rs:128,149`; `doc_create` leaves `inbox: None`, `engine/repo/src/repo.rs:574`). See [`../nextgraph-current-state.md`](../nextgraph-current-state.md) § Inbox.
+>
 > What survives, and is worth keeping from the text below: the **3-stage frame** (`discovery → synchronization → query`) is still exactly right, with stage 1 re-read as *"a link reached you"* rather than *"you consulted an index"*. You still cannot query what you have not synchronized, and you still do not synchronize what nobody gave you. The **inbox** is what feeds stage 1 — which makes it the bootstrap of the whole reachability graph, not a side feature.
 >
 > Kept in full below as a record of what was built and why, and of the reasoning that has to be re-read through the correction above.

docs/decisions/private-store-nuri-scope.md

@@ -9,7 +9,8 @@ the shim opens repos. Original context: the consuming app.
 > **protected** store (`did:ng:${protected_store_id}`), verified to open without
 > `RepoNotFound`. **The central insight of this ADR still holds** and now applies
 > to **both** stores: you must open the repo via the store's NURI
-> (`orm_start_graph`) or you get `RepoNotFound`.
+> or you get `RepoNotFound`. *(How it is opened has since changed — see the note
+> under Decision.)*
 
 ## Context
 
@@ -39,10 +40,17 @@ entity to reuse) → falls back to `doc_create` and the same `RepoNotFound`.
 ## Decision
 
 **Option B**: use the store NURI as both the `useShape` scope AND the write
-`@graph`, exactly like `expense-tracker-rdf`. This is why this lib's shim opens a
-store repo via `orm_start_graph` before writing, and why **`did:ng:i` must never
-be used as a scope** (it breaks writes with `RepoNotFound`). See the
-`orm_start_graph` scope rule in [`../simulation.md`](../simulation.md).
+`@graph`, exactly like `expense-tracker-rdf`. This is why this lib's shim opens the
+store repo before writing, and why **`did:ng:i` must never be used as a scope** (it
+breaks writes with `RepoNotFound`). See the scope rule in
+[`../simulation.md`](../simulation.md).
+
+*The decision stands; the mechanism named in it has been replaced.* Opening was
+`orm_start_graph` when this was written. It is now `ensureRepoOpen` — `doc_subscribe`
+plus a wait for the first `State` (`packages/client/src/open-repo.ts:167`) — after
+`orm_start_graph` was found to hang on a fan-out (`subscribe.ts:28,181`). What must be
+read here is the invariant *"open the repo, by its store NURI, before writing"*, not the
+call that used to implement it.
 
 ## Consequences