TODO — ks-config

Série `0.5.x`

0.5.1 - appliquer à l’exécution les classes KS_SECRET_* / KB_SECRET_*, KS_PUBLIC_* / KB_PUBLIC_* et internes, avec propagation de sensibilité aux valeurs composées.
0.5.1 - séparer les représentations source, runtime résolue, publique et diagnostic.
0.5.1 - interdire qu’un secret résolu soit sérialisé, loggé, inclus dans une erreur ou transmis via Tauri.
0.5.1 - supprimer l’exposition frontend de AppConfig et ProfileConfig résolus complets.
Contrat - maintenir l’identité entre chaque schéma embarqué et son fichier sous config/schemas/.
Tests - ajouter les tests d’API externe et les canaris de non-divulgation.
Documentation - maintenir guides, exemples et .env.example avec l’implémentation correspondante.
Intégration - coordonner les surfaces publiques sûres avec logging, transports, pipeline, scénarios et applications.