Deux groupes par ecosysteme, et un garde-fou qui avait perdu sa marge

[lostmind84]

Suite des trois demandes Dependabot. Deux étaient bonnes et sont fusionnées (#19, #20) ; la troisième était ininstallable et a été fermée (#21). Cette branche corrige la cause de la troisième, et referme au passage l'observation que la passe de sécurité avait laissée ouverte.

ci(deps) — une majeure incompatible retenait cinq montées saines

Mon dependabot.yml groupait tout en patterns: ["*"] par écosystème. La première demande npm portait six montées, dont TypeScript 7 — que svelte-check refuse encore :

npm error ERESOLVE
  Found: typescript@7.0.2
  peer typescript@"^5.0.0 || ^6.0.0" from svelte-check@4.7.4

npm ci échouait avant le premier test, et cinq montées parfaitement saines (@types/node, svelte-check, jsdom…) étaient retenues par la sixième, sans autre issue que de tout fermer.

Majeures et mineures voyagent désormais séparément, dans les trois écosystèmes. Coût : une demande de plus par écosystème et par mois. La cadence mensuelle et le groupement restent — une coopérative sans mainteneur à temps plein cesse de regarder un dépôt qui ouvre une demande par dépendance et par semaine.

test(station) — le garde-fou anti-blocage n'avait plus de marge

hang valait 5 s et son commentaire promettait « it never elapses in a passing run : it is a guard, not a delay ». La CI a démenti la promesse, sur la demande qui ne changeait que deux empreintes d'actions dans deux fichiers YAML — donc sur un diff qui ne pouvait pas causer un échec de test Go :

--- FAIL: TestAnAmputatedCatalogIsRefusedAgainstTheRealGuard (5.54s)
    failures_catalog_test.go:1619: la grille n'a jamais compté 331 tuiles

Ce n'est pas une course entre goroutines. Mesuré sur ce test, le plus lourd du paquet parce qu'il décode les 181 images du flv.csv réel deux fois :

Condition	Durée
isolé, sans -race	0,52 s (cinq exécutions, stable)
isolé, sous -race	1,07 s
budget hang	5 s
observé en CI à l'échec	5,54 s

L'écart vient du runner : go test ./... joue les paquets en parallèle, donc internal/web et cmd/openscale — 25 s et 21 s à eux seuls — concourent avec celui-ci sur quatre vCPU sous le détecteur de courses. Une seconde de travail en devient cinq, et un garde-fou avec un facteur cinq de marge n'en a plus.

hang passe à 30 s. Le changement ne coûte rien sur une exécution verte : awaitCondition rend la main dès que sa condition tient, aucun test qui passe ne ralentit d'une microseconde. Il coûte trente secondes au lieu de cinq pour déclarer un vrai blocage, une fois, sur une exécution qui échoue déjà — l'arbitrage exact que le commentaire revendiquait.

Les mesures sont écrites à côté de la constante, pour que la prochaine personne tentée de la redescendre à une valeur ronde les trouve sur place.

docs — et la piste que j'avais donnée était fausse

SUIVI.md renvoyait vers la famille skipUnderShort que ci.yml documente. Ce n'était pas ça. Une piste fausse laissée dans le suivi coûte plus qu'une observation sans piste : elle envoie chercher au mauvais endroit. L'entrée porte maintenant le nom du test, les quatre chiffres, et ce que le groupement de dependabot.yml a coûté.

Vérification

go vet ./...                      vert
gofmt -l .                        rien
go test -race -short (CGO=1)      31 paquets, 0 échec
go test -short (CGO=0)            31 paquets, 0 échec
boundary                          les coupes sont respectées
deps                              6 dépendances directes, conformes à §17.1
dependabot.yml                    YAML valide, 2 groupes par écosystème