RM-143 (mise à jour) — Lot 2 consoles recetté en prod après GO opérateur : mur Caddy rouvert au juste nécessaire, chat/missions/SSE réels

GO opérateur « go pour le lot 2 » exécuté 21:38-21:52 UTC : whitelist Caddy exacte des 7 familles session-protégées /internal/v1/{chat,assistant,cog,console,mission-control,workbench}/* + /approvals* (validate+reload gracieux ; le reste de /internal reste 403, copie d'avant archivée). Recette en prod HTTPS réelle avec session humaine de test (promue active temporairement, supprimée après) : chat streaming SSE réel (delta + persistance 2 messages + reprise after_seq, modèle cloud), console missions : création canonique idempotente réelle + SSE /console/events/stream 206 events + heartbeats + reprise Last-Event-ID vérifiée, mission-control 200 (launcher LIVE), workbench 200, approvals corrigé (bug d'ordre des gardes : 401 avant test de session — fix a61e8ac déployé, 200/200/401 aux 3 identités). Refus serveur prouvés : 401 anonyme, 403 pending, 400 cancel sans bail. Reste : mission-sonde de recette capturée par agent-launcher (claim légal, RUNNING bail, exec-5522dc792aea, inoffensive), issue au cycle légal ; D2 (GitHub) et D3 (ChatGPT) toujours AWAITING_OPERATOR ; recettes finales vrais navigateurs pour l'opérateur. Coffre Remise-en-service-p0 : SUIVI + DECISIONS D1 = GO REÇU ET EXÉCUTÉ + retours/PREUVES-CONSOLES VERIFIED_PROD ; preuves [chemin-interne]/ (SHA256). Rollback : retirer les lignes de whitelist + reload (copie d'avant) ; git revert. Détails : RM-143 + RC-143.