Journal d’audit
Qui a fait quoi — les plus récemment écrites d’abord. Les accès accordés comme les refus y figurent.
Journal append-only (règle 5) : une entrée ne se corrige ni ne s’efface. Un utilisateur ne se supprime jamais — effacer un acteur détruirait l’attribution de ses actes passés.
Diff dépliable « avant / après » (valeurs)
non servi par l’API
UI-E E9 énumère un diff dépliable ; il n’est PAS servi, sur arbitrage porteur du 2026-08-14, et cette restriction est la seule protection du stock déjà écrit. Le journal est append-only (règle 5) : les lignes antérieures à la réparation de `redacter` (2026-08-14) portent en clair des téléphones, des numéros de permis et des noms de signataires, et les rédiger rétroactivement violerait l’append-only. Ce que l’écran rend à la place — les NOMS des champs réellement modifiés — répond à « qui a fait quoi » (SPEC-04 RG-5) sans exposer aucune valeur.
Colonne « Motif »
non servi par l’API
La table `entrees_audit` porte bien un `motif`, mais UI-E E9 ne l’énumère pas dans ses colonnes et c’est du texte libre saisi par un opérateur. Le servir sans écran qui le rende serait l’« exposition sans consommateur » que le constat M6-05 reproche déjà ailleurs : il n’est donc même pas sélectionné côté API.