Récriture complète de `contract_sdk-surface.md` sur le cadrage du propriétaire du projet :
**le contrat dit ce que le SDK met à disposition, point.**
Ce qui en sort, et pourquoi ça n'y avait pas sa place :
- **tout état d'implémentation** — chiffrement, confidentialité, valeur de remplacement,
ce qui est émulé, ce qui n'est pas encore fait. Le lecteur est un agent qui développe
une application appelante : s'il lit qu'une chose est provisoire, il conçoit des
compensations — sa propre couche de chiffrement, un choix de ne pas stocker telle
donnée, un avertissement d'interface — toutes fausses et toutes à retirer. Il doit
pouvoir considérer que ce SDK **est** celui de NextGraph ;
- **la fabrique** — « polyfill », « portefeuille partagé », « multi-utilisateurs », la
migration, ce que l'application supprimera un jour, les écarts par rapport à la cible ;
- **l'argumentaire** — ce que le modèle « permet », ce que telle règle « achète », la
confidentialité composable. Un appelant a besoin de savoir qu'une référence rendue ne
porte pas de clé, pas de savoir ce que ça lui apporte.
Ce qui entre : les **trois obligations de déploiement**, vérifiées dans le code — servir un
`.ngw` depuis son bundle et le passer à `configure`, être ouverte via la redirection du
broker, appeler `ensureIdentity()` dans un contexte navigateur avant de rendre — et trois
clauses contraignantes qui manquaient : l'identifiant rendu est **opaque**, le préfixe
`urn:ng-eventually:` est **réservé sur les sujets**, et le placement recommandé est un
document par entité métier, plusieurs objets dans un document restant permis.
`## Guarantees` devient une suite d'énoncés plats. `## Non-guarantees` ne liste que des
**absences de capacité** — pas de nom d'affichage, pas de révocation, rien par lecteur sur
un document en store public, pas d'écriture déléguée — jamais un manque par rapport à
autre chose.
L'application d'exemple n'affiche plus l'identifiant comme un nom : elle le montre pour ce
qu'il est, un identifiant technique. C'était exactement ce que la clause « opaque »
interdit, dans le fichier censé montrer le bon geste.
202 tests, typechecks propres, `lint` sans erreur. 148 → 135 lignes.
Sylvain Duchesne
49b046268e