chore(dev): release 0.2.0

[github-actions]

🤖 I have created a release beep boop

0.2.0 (2026-10-01)

Features

• actions: actions d'opérateur signées, vérifiées et exécutées par ca-server (#17) (3c28d73)
• actions: actions signées sur le registre des opérateurs (invitation, confirmation, révocation, rôle) (#20) (255f06c)
• actions: amorçage du premier administrateur (ca-server operators bootstrap-admin) (#18) (2c7d29f)
• actions: audit de la chaîne du registre des opérateurs (operators audit) (#25) (e78b606)
• actions: double contrôle des actions sensibles (quorum de signatures) (#22) (127ceb8)
• actions: récupération de l'administrateur (recover-admin) et garde du quorum impossible (#24) (b30e8a1)
• actions: rejeu du journal, blocage du registre divergent et operators reconcile (#26) (1f58888)
• actions: révocation de certificat par action signée (revoke_certificate) (#21) (603cf44)
• ca-server: lien interne (routes, mTLS) et enregistrement de clé des opérateurs (#19) (fb1ea95)
• ca-server: réplication du journal d'audit sur un stockage S3-compatible (#49) (b72fde1)
• ca-server: revue a posteriori des décisions de la voie de secours (R-1) (#82) (3e7c952)
• ca: dépôt public des certificats + marquage STAGING du staging (#10) (9329b5f)
• ca: provenance des décisions RA et des révocations (R-1) (#58) (c075b4f)
• ca: révocation de l'autorité émettrice et ARL de la racine (C-1) (#56) (1301fe8)
• castore: registre des opérateurs et droits en lecture seule de ra-console (#15) (ea3a702)
• config: refus de l'OID de test en production et script de bascule vers l'arc PEN (#44) (0b26fcd)
• deploy: image, chart Helm et surcouche compose de ra-console (#86) (1e0ffd0)
• deploy: port interne, ConfigMap et NetworkPolicy de la CA dans le chart Helm (#23) (f0d3ea5)
• enhance mirror setup script with initial sync for all repos (b53129c)
• oe-ca-core: journal bloquant avant toute écriture durable (#42) (6d4fe5a)
• oe-raflow: journal bloquant, exception documentée pour Decider::decide (#45) (1a3b496)
• oe-s3: client S3-compatible minimal (SigV4) (#43) (a600350)
• oe-tsa-core,oe-timesource: journal bloquant, deux traits restent synchrones (#47) (4ba7ab0)
• provenance: copie hors poste de l'archive et archivages concurrents (#48) (0a3d834)
• ra-console: connexion par nom, login/begin et login/finish (1c-1) (#34) (0530043)
• ra-console: double contrôle, co-signature et salle d'attente (étape 4b) (#83) (6189e52)
• ra-console: exécution des décisions signées approve/reject (étape 3b) (#77) (37d4eb8)
• ra-console: file des demandes et modale de signature (étape 6b) (#89) (fdb7ccd)
• ra-console: frontend, socle (étape 6a) (#87) (a07a772)
• ra-console: gestion du registre des opérateurs depuis la console (#85) (922d707)
• ra-console: GET /api/v1/audit/search, lecture et vérification des deux journaux (#78) (f636e6d)
• ra-console: journal d'audit propre à la console (2b-A) (#41) (d3b0309)
• ra-console: lecture seule de la file d'enrôlement (2a) (#40) (357608e)
• ra-console: préparation des actions signées approve/reject (étape 3a) (#64) (219bebb)
• ra-console: purge périodique des sessions et challenges expirés (1c-2b) (#39) (b451c85)
• ra-console: registre des opérateurs dans le navigateur (étape 6e) (#91) (3a0b4b5)
• ra-console: relais de l'enregistrement de clé vers ca-server (#29) (bb8b19f)
• ra-console: réplication best-effort du journal d'audit sur S3 (#50) (de7ff68)
• ra-console: révocation d'un certificat, première signature (étape 4a) (#81) (3f72825)
• ra-console: révocation et salle de quorum dans le navigateur (étape 6c) (#90) (42fce8e)
• ra-console: sessions, cookie, /api/v1/me et déconnexion (1c-2a) (#37) (0abcb28)
• ra-console: squelette de la console (lien mTLS, garde du rôle PostgreSQL, healthz) (#28) (566e04d)
• tsa: CORS configurable pour l'API HTTP, activé pour demo.open-eidas.eu (#7) (2d97c3c)
• webauthn: vérification WebAuthn des opérateurs (oe-webauthn) (#16) (d2110d8)

Bug Fixes

• ca-server: commandes d'exploitation sans secret de HSM, et garde de CI contre les tests PostgreSQL ignorés (#27) (59bd6fc)
• ca-server: recover-admin, audit et reconcile sur Config::load_without_hsm (#33) (a50318e)
• chart: ajoute fsGroup aux pods ca/tsa/ocsp pour SoftHSM (cf00ec6)
• chart: ajoute fsGroup aux pods ca/tsa/ocsp pour SoftHSM (c4f8a71)
• ci: publier et épingler les images sous l'organisation otspi (#88) (0d23d9f)
• corrige des vulnérabilités HIGH introduites par l'ajout de golang.org/x/crypto/ocsp (5c5dabc)
• corrige une vulnérabilité CRITICAL golang.org/x/crypto (CVE-2026-56854) (91fac96)
• helm: approbation RA automatique désactivée par défaut (R-2) (#57) (259e7ab)
• images: applique les correctifs de sécurité Debian au build (83b0f72)
• images: applique les correctifs de sécurité Debian au build (e95781c)
• images: invalide le cache apt-get une fois par jour (CACHEBUST) (fd40e43)
• oe-ca-core,oe-conformance,oe-tsa-core: expiration de la clé TSU, contrôlée à chaque signature (#80) (484f233)
• oe-castore,oe-ca-core,oe-ocsp-core: unknown pour un certificat jamais émis (#55) (5621e82)
• oe-rfc3161-asn1,oe-tsa-core,oe-config: genTime porte sa fraction de seconde (#76) (cedb73c)
• oe-tsa-core,tsa-server: le journal trace le jeton émis, pas le certificat (#52) (7fed5cd)
• oe-tsa-core: encodage DER du failInfo des refus RFC 3161 (#62) (0cf221c)
• probes k8s trop strictes + budget d'attente CI insuffisant (0738b16)
• ra-console: ne plus lier cryptoki (feature pkcs11 d'oe-hsm) (#30) (9f1f0b9)
• tsa: numéro de série du jeton en DER minimal (1 jeton sur 512 était rejeté) (#31) (3a9e2e2)
• tsa: restreint vraiment le CORS à l'origine configurée (#8) (5a7acf1)
• valide la longueur du PIN SoftHSM (4-255) au lieu de bloquer sur une invite (81decf3)

---

This PR was generated with Release Please. See documentation.