L'expression régulière qui tenait ce contrôle mentait dans les deux sens :
elle refusait « FROM base AS runtime » et « FROM scratch », qui sont
légitimes, et laissait passer « FROM --platform=... node », qui ne l'est
pas. Un contrôle qui rougit sur du code correct finit désarmé.

Le contrôle devient .forgejo/scripts/verifier-images.sh : il lit les FROM
des Dockerfiles et les image: des Compose, connaît les étages de
construction, scratch, les empreintes sha256 et les références bâties par
variable. Ses cas d'essai vivent dans tests/ci et se jouent avant lui.

Ref #40

@@ -14,0 +42,4 @@
+  #
+  # Ils ne coûtent rien tant qu'aucun test n'existe : la tâche se saute. Le jour
+  # où le premier test unitaire est écrit, la mesure porte sur tout le code de
+  # « services » et « packages », pas seulement sur ce que ce test importe — et

@@ -60,0 +300,4 @@
+          python -m venv /tmp/venv-applicatif
+          /tmp/venv-applicatif/bin/pip install --quiet -r /tmp/deps-applicatif.txt
+          cyclonedx-py environment /tmp/venv-applicatif --of JSON -o sbom-applicatif.json
+          python -c "import json,sys; d=json.load(open('sbom-applicatif.json')); print(len(d['components']), 'composants applicatifs inventoriés')"

@@ -0,0 +9,4 @@
+dessous se lancent **à la racine du dépôt** et ont été exécutées telles quelles.
+
+## Les cinq tâches
+

@@ -0,0 +363,4 @@
+- une approbation obligatoire, invalidée par toute nouvelle poussée ;
+- interdiction de la poussée directe ;
+- contrôles d'état obligatoires — la forge les désigne par le `name:` **affiché**
+  de la tâche, pas par sa clé dans le YAML :