chore: double licence EUPL-1.2 / AGPL-3.0, provenance du code et contrôle des licences

[PhilippeVienne]

Objet

Trois commits, à relire séparément :

1. Double licence : le projet passe en EUPL-1.2 OR AGPL-3.0-only, au choix du réutilisateur (texte AGPL repris de la version antérieure à chore: passage de la licence à l'EUPL-1.2 #35, README, CONTRIBUTING, champ license du workspace). Le dernier commit restreint la branche AGPL à la version 3 uniquement (le premier écrivait -or-later).
2. Provenance et licences :
   • PROVENANCE.md : déclaration d'assistance par IA (Claude Code), rôle du contributeur humain, remorque Co-authored-by: Claude <noreply@anthropic.com> exigée à partir du 2026-09-25, état de la couverture des commits antérieurs ;
   • scripts/provenance.py : trace / report rattachent un commit aux sessions Claude Code locales qui l'ont créé ou ont ouvert/fusionné sa PR ; archive / verify tiennent une archive immuable des transcriptions (objets SHA-256, manifestes chaînés, horodatage RFC 3161 par une TSA tierce). Les transcriptions ne sont jamais commitées ;
   • .github/pull_request_template.md : ce modèle, avec la revue humaine obligatoire ;
   • deny.toml + job CI licenses (cargo-deny), make licenses, make provenance.

Base : dev (a600350). Indépendante de la pile en cours.

Limite assumée : une dépendance AGPL-3.0 est admise par deny.toml, mais le binaire qui l'embarque ne serait plus distribuable que sous AGPL-3.0 ; c'est écrit dans le fichier et devra être signalé par la PR qui en ajouterait une. Les autres copyleft (GPL, LGPL, OSL, EPL, CeCILL…) restent refusés sauf exception consignée.

Vérifications

• cargo deny check licenses : licenses ok ; licence effective de toutes les crates : EUPL-1.2 OR AGPL-3.0-only.
• Mutation : sans MPL-2.0 dans la liste, les 5 crates webauthn-rs sont rejetées (code 4), puis contrôle revenu vert.
• scripts/provenance.py report sur dev : 76/102 commits rattachés à une session ; trace sur le second commit de cette PR : « créé », remorque présente.
• archive puis verify --tsa-ca (certificat FreeTSA) : jeton vérifié ; altération d'un objet détectée dans les deux manifestes qui le référencent.
• Aucun code Rust modifié (pas d'effet sur fmt, clippy ni tests).

Revue humaine obligatoire

Voir PROVENANCE.md. Chaque case est cochée par le contributeur humain qui valide la PR, après l'avoir fait lui-même.

• Revue d'architecture validée par l'humain
• Code relu et tests unitaires/intégration vérifiés localement
• Absence de dépendances tierces incompatibles avec la double licence EUPL-1.2 / AGPL-3.0 (make licenses)
• Validation de l'apport intellectuel et de la paternité humaine sur la modification

Assistance par IA

• Cette PR a été produite avec l'assistance de Claude Code : les commits concernés portent la remorque Co-authored-by: Claude <noreply@anthropic.com>, auteur et committer restent humains, et scripts/provenance.py archive a été lancé
• Cette PR a été écrite sans assistance par IA