v0.2.6-pre.013-fix.002

docs/plans/013-V0_2_6_WALLET_DESK_PLAN.md

@@ -1,5 +1,5 @@
 <!-- file: docs/plans/013-V0_2_6_WALLET_DESK_PLAN.md -->
-<!-- version: 29 -->
+<!-- version: 30 -->
 
 # Plan `0.2.6` — Wallet Desk
 
@@ -30,6 +30,10 @@ Les validations opérateur du `2026-08-20` ont ensuite confirmé la base `pre.00
 
 Le premier passage opérateur de `pre.013` a confirmé `fmt`, audit, `check` et Clippy, mais le nouveau canari `response_dtos_keep_secret_key_material_out_of_ipc` a produit un faux positif sur `WalletAuthorizedDto` : le scanner analysait aussi les commentaires du bloc de structure et rencontrait la documentation légitime `Wallet password candidates`. `pre.013-fix.001` aligne ce gate sur la règle déjà éprouvée en `pre.006-fix.001` : seuls les champs `pub(crate)` réellement sérialisables sont inspectés pour `password`, key material, path/content/bytes. Aucun DTO ni contrat IPC runtime n'est assoupli.
 
+### Correctif `0.2.6-pre.013-fix.002`
+
+La validation de `pre.013-fix.001` confirme `fmt`, audit, `check`, Clippy, les tests Wallet Desk, le canari `release_compliance` et le smoke Devnet opt-in. Le workspace complet révèle toutefois un second faux positif : le test global `ksp-logging-lib::workspace_crates_do_not_bypass_ksp_logging_facade` détecte le littéral `tracing::` présent dans le code du canari Wallet Desk qui vérifie précisément l'absence de ce bypass. `pre.013-fix.002` conserve le scanner global inchangé et construit ce motif à l'exécution dans `release_compliance.rs`; le canari continue ainsi d'auditer les sources backend sans s'auto-déclarer comme bypass. Aucun comportement runtime, DTO, dependency firewall ou capability n'est modifié.
+
 ## 2. Sources relues et hiérarchie appliquée
 
 L'audit suit l'ordre d'autorité demandé :