[Andreas-Garcia]

Summary

Les prochains adopteurs réutilisent les mêmes contrôles de provenance et de reprise pour leurs GitHub Releases et artefacts npm. Ce complément ne change aucune version et n'active aucun dépôt.

Changes

• Publisher réutilisable pour les contrats GitHub-only : tag déréférencé, ascendance main, version/miroirs/changelog puis vérification distante. Le mode autonome refuse les contrats comportant des packages.
• API GitHub : 404 seul signifie absence ; erreur réseau/API échoue ; concurrence 422 relue et vérifiée comme release stable publiée.
• Mode notes pour les publishers existants et helper npm comparant nom, version et intégrité SHA-512 avant reprise. Les fichiers de workflow OIDC et les builds restent chez les adopteurs.
• Workflow épinglé à un snapshot interne immuable contenant les helpers Python identiques ; aucune clé App reçue.

Test plan

• 32 tests Python, fixture release.sh, actionlint, shellcheck et diff --check : succès.
• Test Node avec registre simulé : premier package présent/deuxième absent, erreurs HTTP/JSON/réseau et intégrité divergente.
• Revue change/deep indépendante sur 7314805..98ba53e : aucun finding confirmé.
• Limites : aucune publication réelle ; archives reproductibles nécessaires. La protection des tags demeure nécessaire contre une suppression concurrente entre vérification et POST de la release.

[Copilot]

Copilot was unable to review this pull request due to rate limiting. Please try again later. See Usage limits for GitHub Copilot for details.