refactor(layout): les portes non gardées en un seul module, mintCap chez le verifier

Trois extractions que le rangement par destin a rendues évidentes :

- `subscribePhysicalDoc` et `ensurePhysicalRepoOpen` rejoignent
  `shared-wallet/physical.ts`, qui devient l'API non gardée de la machinerie
  en un seul endroit — ce que sa propre doctrine réclamait (« des fonctions
  séparées, jamais des exemptions »). Elles vivaient jusqu'ici à côté de leurs
  jumelles gardées, à un import près d'être atteintes par erreur. Les deux
  cœurs sont désormais exportés sous un nom `Unguarded`, pour cet unique
  importateur.
- `mintCap` et sa valeur de remplacement quittent `model/nuri.ts` pour
  `emulated-verifier/caps.ts`. `model/` transcrit le vocabulaire d'adressage de
  la cible ; frapper une clé n'en fait pas partie — en amont le moteur frappe à
  la création du repo, et ensuite on cherche un cap dans ce qu'on détient ou on
  le reçoit. Sa présence dans le module modèle contredisait l'en-tête de ce
  module et logeait la seule valeur inventée de l'émulation dans le fichier qui
  se dit vocabulaire vérifié.

Un cycle est apparu au passage (`open-repo` ↔ `physical`) : résolu en faisant
appeler à `open-repo` le cœur non gardé plutôt que la porte de la machinerie.

157 tests unitaires, typecheck src/test/e2e vert.

packages/client/src/surface/subscribe.ts

@@ -112,17 +112,11 @@ export function subscribeDoc(
 }
 
 /**
- * Subscribe as the PHYSICAL user — the shim's own documents. The machinery's
- * counterpart to {@link subscribeDoc}; never exported from the package.
+ * The unguarded core. Exported for ONE importer — `shared-wallet/physical.ts`, which
+ * owns the machinery's entire privileged door — and for nobody else. It is not
+ * re-exported by either entry point; the `Unguarded` suffix is the warning.
  */
-export function subscribePhysicalDoc(
-  nuri: Nuri,
-  onChange: (r: DocChange, type: DocChangeType) => void,
-): Unsubscribe {
-  return subscribeDocUnguarded(nuri, onChange);
-}
-
-function subscribeDocUnguarded(
+export function subscribeDocUnguarded(
   nuri: Nuri,
   onChange: (r: DocChange, type: DocChangeType) => void,
 ): Unsubscribe {