refactor(api): séparer la surface de l'app et la machinerie

L'entrée SDK déversait la machinerie par deux fuites :

- `export * as storeRegistry from "./store-registry"` exportait TOUT le module —
  `ensureAccount`, `addLink`, `readLinks`, `resolveAccount`, `reservedAccount`,
  `resetRegistryCache`, `isOwnInbox`, `myInboxes`, `userStoreDoc`. Remplacé par
  `store-registry-api.ts`, qui ne ré-expose que les sept appels destinés à
  l'app : createEntityDoc, listMyEntityDocs, resolveScopeGraph,
  resolveWriteGraph, walletInbox, openDocumentInbox, documentInboxAddress.
- `accounts.*` — persistance d'identité navigateur, sans aucun pendant SDK —
  passe sur `/polyfill`, où sa disparition à la migration se lit sur la ligne
  d'import.

L'en-tête d'`index.ts` affirmait n'exposer « que ce que @ng-org/web et
@ng-org/orm exposent ». C'était faux et enseignait une frontière fausse : un
consommateur en déduisait que tout ce qui s'importe de l'entrée survit à la
migration, ce qui ne valait ni pour `accounts` ni pour l'essentiel de
`storeRegistry`. Il énonce désormais ce que l'entrée promet vraiment : tout
symbole y a un pendant dans le futur SDK, vérifié ou assumé, et rien n'y est de
la machinerie.

La frontière mord : le typecheck e2e a échoué aussitôt, le harnais atteignant
`ensureAccount` et `resetRegistryCache` par l'entrée publique. Il passe
désormais par le chemin interne, comme les tests unitaires — légitime, il teste
la bibliothèque.

Deux documents plutôt qu'un, mêmes exigences, publics différents :
`docs/api-contract.md` (la surface de l'app, avec pour chaque sujet la signature
que le futur SDK devrait exposer, et l'étiquette qui distingue le vérifié de
l'assumé) et `docs/internal-contract.md` (le complément exact).

157 tests unitaires, e2e 40/40 contre le broker en ligne.

packages/client/src/index.ts

@@ -1,14 +1,23 @@
 /**
- * @ng-eventually/client — **SDK-identical** surface.
+ * @ng-eventually/client — the surface a consumer application codes against.
  *
- * This entry exposes ONLY what `@ng-org/web` / `@ng-org/orm` expose (current +
- * anticipated: `inbox`). Import `ng` / `useShape` from here instead of the SDK
- * during the polyfill period; at migration the build alias is removed and these
- * resolve to the real SDK with **no code change**.
+ * Everything here has a target-SDK counterpart, verified or assumed, listed in
+ * `docs/api-contract.md`. Import `ng` / `useShape` from here rather than from the
+ * SDK during the polyfill period; at migration the build alias is removed and
+ * these resolve to the real SDK.
  *
- * The one non-SDK piece — the polyfill bootstrap (`configure`, capability
- * helpers, current user) — lives at `@ng-eventually/client/polyfill`, and is the
- * only thing removed at migration.
+ * **This entry carries no machinery.** The earlier header claimed it exposed "ONLY
+ * what `@ng-org/web` / `@ng-org/orm` expose", which was false as written: it also
+ * shipped the whole `store-registry` module (account resolution, cap registers,
+ * cache resets) and `accounts` (browser identity persistence, polyfill-era with no
+ * SDK counterpart). Both leaked machinery onto the entry whose promise is that it
+ * survives migration. `storeRegistry` is now the app-facing slice only
+ * (`store-registry-api.ts`); `accounts` moved to `/polyfill`.
+ *
+ * The polyfill bootstrap — `configure`, the capability helpers, the current user,
+ * identity persistence — lives at `@ng-eventually/client/polyfill`: everything an
+ * application needs TODAY that will not exist tomorrow, kept apart so what goes
+ * away is visible at the import line.
  */
 
 export * from "./types";
@@ -22,10 +31,7 @@ export { subscribeDoc, subscribeDocs, docChangeType } from "./subscribe";
 export type { DocChange, DocChangeType, Unsubscribe } from "./subscribe";
 export * as readModel from "./read-model";
 export type { UnionSubject } from "./read-model";
-export * as storeRegistry from "./store-registry";
-export type { AccountRecord, RegistrySession } from "./store-registry";
-export * as accounts from "./accounts";
-export type { AccountStorage } from "./accounts";
+export * as storeRegistry from "./store-registry-api";
 
 // SPARQL injection-safety helpers — so the app can reuse the same escaping /
 // validation when it builds SPARQL by interpolation. `escapeLiteral` for string