v0.5.1-pre.008

docs/guides/CONFIGURATION.md

@@ -1,5 +1,5 @@
 <!-- file: docs/guides/CONFIGURATION.md -->
-<!-- version: 7 -->
+<!-- version: 9 -->
 
 # Guide de configuration
 
@@ -22,7 +22,7 @@ Documents partagés :
 - `config/wallet.config.json` ;
 - `config/execution.config.json`.
 
-Chaque document possède un exemple `example.*.config.json`. Les schémas correspondants résident sous `config/schemas/`.
+Chaque document possède un exemple sous `config/exemples/` avec un nom `example.*.config.json`. Les schémas correspondants résident sous `config/schemas/`.
 
 `.env`, ou le fichier sélectionné par `KS_ENV_FILE`, fournit les valeurs non versionnées.
 
@@ -145,22 +145,29 @@ appartiennent à `execution.config.json`, avec les limites de dépense, frais, s
 
 ## Contrat runtime transitoire
 
-Pendant `0.5.1`, `ks-config` reconstruit encore `AppConfig/ProfileConfig` afin de préserver les consommateurs existants. Il s'agit d'une projection runtime, pas d'un document source.
+Pendant `0.5.1`, `ks-config` reconstruit encore `AppConfig/ProfileConfig` afin de préserver les consommateurs backend existants. Il s'agit d'une projection runtime, pas d'un document source ni d'une surface de sortie. Depuis `pre.008`, ces contrats et les documents spécialisés susceptibles de contenir des valeurs résolues ne dérivent ni `serde::Serialize` ni `Debug`.
 
 Les fixtures de compatibilité sont sous `test-fixtures/config/`. Elles ne doivent pas être chargées en production.
 
+## Frontière publique et diagnostic
+
+Une application ne transmet jamais `AppConfig/ProfileConfig` directement. Elle construit :
+
+- une projection publique explicitement typée, limitée aux champs autorisés ;
+- un diagnostic borné contenant au plus des états tels que `configured`/`missing` pour les URLs, DSN et chemins sensibles ;
+- aucune projection construite par sérialisation du runtime suivie d'un masquage a posteriori.
+
+La sensibilité suit `Secret > Internal > Public`. Une valeur composée hérite de la sensibilité la plus forte des placeholders qu'elle contient ; une URL incorporant `${KS_SECRET_HELIUS_API_KEY}` est donc secrète même si son champ final est simplement `url`.
+
+La section `application` d'une composition est opaque à `ks-config`. Le desktop la valide avec son schéma `config/schemas/kb-app-demo-desktop.application.config.schema.json`; un futur worker pourra posséder son propre schéma sans modifier `ks-config`.
+
 ## Frontière TS-RS
 
-L'audit `pre.007` confirme que le frontend du desktop n'importe directement aucun binding généré depuis `ks-config` ou `ks-lib`. Les dérivations TS-RS des crates généralistes seront donc réévaluées dans la prerelease suivante : les DTO réellement destinés à Tauri doivent être définis/wrappés dans l'application, sauf contrat TypeScript générique explicitement justifié.
+Depuis `pre.008`, `ks-config` et `ks-lib` ne dépendent plus de TS-RS et ne possèdent plus de bindings TypeScript générés. Les DTO traversant Tauri appartiennent à `kb-app-demo-desktop` ou à la future application concernée. Une exception dans une crate `ks-*` exige un contrat TypeScript générique indépendant de Tauri explicitement justifié et audité.
 
 ## Étape suivante
 
-La prochaine prerelease traite ensemble :
-
-- représentation source / runtime / publique / diagnostic ;
-- propagation `SECRET` / `PUBLIC` / interne ;
-- suppression de l'exposition Tauri de la configuration runtime complète ;
-- réduction des bindings TS-RS dans les crates généralistes et wrappers applicatifs nécessaires.
+`pre.009` est une prerelease de clôture : réconciliation documentaire, audits finaux, nettoyage des TODO, archivage du plan/prompt et préparation de `0.5.2`.
 
 ## Invariants