fix(oe-tsa-core,tsa-server): le journal trace le jeton émis, pas le certificat

[PhilippeVienne]

Objet

Constat J-3 de l'audit de préparation eIDAS/WebTrust du 2026-09-25
(docs/AUDIT_2026_09_25.md, EN 319 421 OVR-7.13-05) : le journal
consignait, pour chaque jeton timestamp.granted, la série du certificat
de la TSU (constante d'un appel à l'autre) au lieu de celle du jeton
réellement émis. Après un incident (horloge fautive, clé suspecte), il était
impossible d'identifier quels jetons avaient été affectés — contrairement à
ce qu'affirme la documentation.

oe-tsa-core journalise maintenant, pour chaque timestamp.granted :

• la série du jeton (tst_info.serial_number, tirée à chaque appel) ;
• l'OID et la valeur du messageImprint soumis ;
• l'empreinte du certificat de la TSU ;
• gen_time au format RFC 3339 (avec fraction), plus lisible que le format
  Debug utilisé jusqu'ici.

Toutes ces valeurs viennent du jeton et de la requête réellement traités
(déjà en mémoire au moment du journal), pas reconstruites après coup :
l'ordre journal-avant-signature (§15 étape 2b, PR précédentes) reste
inchangé, rien ne le remettait en cause ici.

tsa-server ajoute aussi l'état de l'horloge (traçabilité, écart,
sources) au moment de l'émission — dernier volet de la recommandation de
l'audit. oe_tsa_core::Clock reste délibérément découplé d'oe-timesource
(décision déjà prise, documentée dans le module) : l'enrichissement se fait
dans un Recorder englobant côté tsa-server, qui connaît déjà les deux
côtés, sans qu'oe-tsa-core ait à en savoir quoi que ce soit.

Base : dev (branche indépendante de la pile 2b).

Vérifications

• cargo fmt --check : silencieux.
• cargo clippy --workspace --all-targets -- -D warnings : silencieux, sur
  toolchain 1.97 (local) et 1.98.1 (CI).
• cargo test -p oe-tsa-core -p tsa-server et cargo test --workspace :
  tout au vert.
• cargo audit --ignore RUSTSEC-2023-0071 : aucune vulnérabilité.
• Nouveau test oe-tsa-core : deux appels à timestamp() produisent deux
  séries distinctes au journal (recommandation explicite de l'audit), et
  la série journalisée n'est jamais celle du certificat. Mutation : en
  revenant à l'ancien code (série du certificat), le test échoue bien.
• Nouveaux tests tsa-server : describe_clock_status produit la forme
  attendue, et le Recorder englobant ajoute réellement le champ horloge
  au journal écrit sur disque. Mutation : en retirant l'enrichissement, le
  test échoue bien.

Revue humaine obligatoire

Voir PROVENANCE.md. Chaque case est cochée par le
contributeur humain qui valide la PR, après l'avoir fait lui-même.

• Revue d'architecture validée par l'humain
• Code relu et tests unitaires/intégration vérifiés localement
• Absence de dépendances tierces incompatibles avec la double licence EUPL-1.2 / AGPL-3.0 (make licenses)
• Validation de l'apport intellectuel et de la paternité humaine sur la modification

Assistance par IA

• Cette PR a été produite avec l'assistance de Claude Code : les commits concernés portent la remorque Co-authored-by: Claude <noreply@anthropic.com>, auteur et committer restent humains, et scripts/provenance.py archive a été lancé
• Cette PR a été écrite sans assistance par IA