v0.5.1-pre.008

config/README.md

@@ -1,5 +1,5 @@
 <!-- file: config/README.md -->
-<!-- version: 22 -->
+<!-- version: 24 -->
 
 # Configuration locale
 
@@ -36,15 +36,17 @@ config/
 ├── store.config.json
 ├── wallet.config.json
 ├── execution.config.json
-├── example.kb-app-demo-desktop.default.config.json
-├── example.logging.config.json
-├── example.transport.config.json
-├── example.listeners.config.json
-├── example.store.config.json
-├── example.wallet.config.json
-├── example.execution.config.json
+├── exemples/
+│   ├── example.kb-app-demo-desktop.default.config.json
+│   ├── example.logging.config.json
+│   ├── example.transport.config.json
+│   ├── example.listeners.config.json
+│   ├── example.store.config.json
+│   ├── example.wallet.config.json
+│   └── example.execution.config.json
 └── schemas/
     ├── composition.config.schema.json
+    ├── kb-app-demo-desktop.application.config.schema.json
     ├── logging.config.schema.json
     ├── transport.config.schema.json
     ├── listeners.config.schema.json
@@ -54,7 +56,7 @@ config/
     └── resolved.app.config.schema.json
 ```
 
-`resolved.app.config.schema.json` décrit uniquement le contrat transitoire `AppConfig/ProfileConfig` reconstruit en mémoire. Aucun binaire ne charge ce schéma comme document source applicatif.
+`resolved.app.config.schema.json` décrit uniquement le contrat transitoire `AppConfig/ProfileConfig` reconstruit en mémoire. Aucun binaire ne charge ce schéma comme document source applicatif. La section `application` d'une composition reste opaque pour `ks-config`; `kb-app-demo-desktop` la valide avec `config/schemas/kb-app-demo-desktop.application.config.schema.json`.
 
 ## Defaults et overrides
 
@@ -110,14 +112,20 @@ Les defaults portent les timeouts, capacités de channels et `auto_reconnect`. U
 
 `store.config.json` possède la sélection et les paramètres PostgreSQL/SQLite. Le split reste structurel : aucune migration SQL n'est introduite par `0.5.1`.
 
+## Frontière source/runtime/public/diagnostic
+
+Les documents source et le contrat runtime résolu peuvent contenir des valeurs sensibles après résolution des placeholders. Ils restent backend-only et ne sont ni sérialisables ni `Debug` par défaut. Les applications construisent explicitement leurs DTO publics et diagnostics bornés, sans sérialiser puis masquer un `AppConfig/ProfileConfig` complet.
+
+Une valeur composée hérite de la sensibilité la plus forte de ses placeholders (`Secret > Internal > Public`). Une URL ou un DSN incorporant un `KS_SECRET_*`/`KB_SECRET_*` est donc secret même si le champ final ne porte pas le mot `SECRET`.
+
 ## Variables d'environnement
 
 Les composants `ks-*` utilisent `KS_SECRET_*`, `KS_PUBLIC_*` ou `KS_*`. Les besoins réellement spécifiques à une application `kb-*` utilisent `KB_SECRET_*`, `KB_PUBLIC_*` ou `KB_*`.
 
-Les secrets ne sont jamais écrits en clair dans le dépôt. La séparation source/runtime/public/diagnostic et le camouflage systématique sont traités après ce split.
+Les secrets ne sont jamais écrits en clair dans le dépôt. Depuis `0.5.1-pre.008`, les contrats source/runtime sensibles restent backend-only, tandis que les applications exposent uniquement des DTO publics ou diagnostics explicitement bornés.
 
 ## Exemples et schémas
 
-Les exemples sous `config/` sont des références conformes et ne sont pas chargés automatiquement. Tous les schémas actifs résident exclusivement sous `config/schemas/`.
+Les exemples sous `config/exemples/` sont des références conformes et ne sont pas chargés automatiquement. Tous les schémas actifs résident exclusivement sous `config/schemas/`.
 
 Les fichiers historiques `app.config.json`, `example.app.config.json`, `schemas/app.config.schema.json`, `example.config.json`, `schema.config.json` et `ks-pipeline-demo-scenarios.default.config.json` sont obsolètes dans l'architecture courante.