P3-02 sécurité effective — fusion KF-02 + scan avant publication (RM-046/RC-046)

Mission P3-02 (RM-046, RC-046 privé) : correctifs KF-02 (R1/R4/R6/R9/R11) fusionnés dans mission/p3-02-security — TOUJOURS NON déployés en prod tant que non mergés (vérifié in vivo) ; C9 scan anti-secrets fail-closed avant publication (422 SECRET_DETECTED, copie isolée) ; politique KF-14 constatée NON appliquée (35 RC publics, fermés à la frontière : deny-liste passerelle 404 + rapports-publier scan/refus RC, tests 15/15) ; liberté labo vérifiée in vivo (cycle complet + refus destruction sans archivage) ; plan de fermeture réseau port 3001 + modèle d'identité (jetons→comptes→capacités) prêts, activation opérateur. PARTIAL : merge prod pas exécuté, rotation jetons, dépublier RC chez Obsidian, R4b crypto-socle. Rollback : docs phase-3/security/procedure-deploiement-retour-arriere.md. 404 tests PASS.