C4-00 stabilisation : PCAP EXDEV corrigé (sandbox), rattrapage confirmé, patrimoine protégé — RM-061 / RC-061

Axe A : la panne EXDEV de kf-pcap-watch (38 611 alertes depuis 23-10 21:48 : ProtectSystem=create invalidé → sandbox ignorée ; corrigé en strict → 2 bind-mounts → link(2)=EXDEV) corrigée via ProtectSystem=full, validée par sonde avant redémarrage ; 17 captures fermées jamais archivées rattrapées (confirmées, backlog 480 Mo→25 Mo, lost_log=0, aucune capture perdue), http_00016 confirmé après vraie rotation (empreinte re-vérifiée indépendamment) ; surveillance de résultat c4-00-pcap-surveille.timer (15 min) : retard/erreurs/espace/écart ring. Axe B : 42 dépôts protégés (bundles all-refs + patches du non-commité, 166 Mo, 0 reset/clean/prune), PROD [chemin-interne] 37 changements attribués (audit 23-10 + crypto-socle v1.1/v1.2), risque confirmé : app/crypto_api.py NON tracké importé par la prod (préservé en tarball). Axe C : branche mission/c4-00-security-promo préparée (cherry-pick p3-02 KF-02/C9 + crypto commité, tests 19/19+66/66 dans le worktree, jamais déployée) ; exposition vérifiée sans casser les capacités (obsidian-sync 3001 = 401+TLS, tout le reste loopback, jetons 0600). Axe D : phrase KF-09 créée (0600, [chemin-interne] — A COPIER PAR L'OPÉRATEUR HORS VPS), 2 générations chiffrées vérifiées (10 datasets, 0 échec) + drill de restauration réussi (integrity_check ok) ; destination externe KF-09 toujours BLOCKED (reste opérateur). Axes tests : 33/33 kf-preservation, pipeline PCAP démontré in vivo, webui prod 200. Rollback complet dans les livrables. Restes : promotion sécurité = GO opérateur ; commit code crypto prod ; anti-spam/requeues KF-08 ; RC-061 resté PRIVÉ par la gate P3-02/KF-14 (refus frontalier, conforme) ; scanneur C9 webui indisponible au moment du RM (SCAN_UNAVAILABLE, contrôle de formes seul appliqué).