docs : le recouvrement de la clé du responsable

Elle se perd, se compromet, ou la personne quitte l'organisation. Sans
procédure, un tenant devient inmigrable : captif non par contrat mais par
accident — exactement ce que la recette existe pour empêcher.

Deux écueils symétriques consignés. Trop lourde, la procédure n'aboutit
jamais et le tenant reste bloqué. Trop légère, elle devient le chemin de
moindre résistance pour contourner la signature : inutile de forger un
mandat si l'on peut se faire attribuer la clé. Le recouvrement doit être au
moins aussi difficile que ce qu'il protège.

Vraisemblablement le même mécanisme que le changement de responsable — dans
les deux cas quelqu'un d'extérieur à la clé atteste de l'autorité. Piste la
plus transposable des registraires : un contact de secours nommé en même
temps que le responsable, tant que personne n'est en situation d'urgence.

Preuves : 24 OK, 0 échec.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

CHANGELOG.md

@@ -20,10 +20,22 @@ retirait une fausse impression.
 Ce qui reste gratuit est l'adressage, pas le retour : tout dérive d'un seul chiffre, dans les
 deux sens.
 
-### Ajouté aux points à trancher — deux questions de gouvernance
+### Ajouté aux points à trancher — trois questions de gouvernance
 **Où le responsable désigné est déclaré**, et surtout **comment on en change** : c'est un acte
 au moins aussi sensible que la migration, puisqu'il décide qui pourra la mandater ensuite.
 
+**Le recouvrement de la clé du responsable** — elle se perd, se compromet, ou la personne
+quitte l'organisation. Sans procédure, un tenant devient **inmigrable** : captif non par
+contrat mais par accident, exactement ce que la recette existe pour empêcher.
+
+Deux écueils symétriques y sont consignés. Trop lourde, la procédure n'aboutit jamais et le
+tenant reste bloqué. Trop légère, elle devient le **chemin de moindre résistance** pour
+contourner la signature — inutile de forger un mandat si l'on peut se faire attribuer la clé.
+Le recouvrement doit être au moins aussi difficile que ce qu'il protège.
+
+Piste retenue, la plus transposable des registraires : un **contact de secours nommé en même
+temps que le responsable**, tant que personne n'est en situation d'urgence.
+
 **La durée de rétention** : convenue avec qui, consignée où, attestée par qui. Sur une
 séparation d'hébergeur, un flou ici finit en litige.
 

docs/migration-tenant.md

@@ -229,6 +229,20 @@ a révoqué ses accès, il faudrait les rétablir.
 - **Où le responsable désigné est déclaré** dans le plan du tenant, et surtout **comment on
   en change** : c'est un acte au moins aussi sensible que la migration elle-même, puisqu'il
   décide qui pourra la mandater ensuite.
+- **Le recouvrement de la clé du responsable** — elle se perd, se compromet, ou la personne
+  quitte l'organisation. Sans procédure, un tenant devient **inmigrable** : captif non par
+  contrat mais par accident, ce que toute cette recette existe pour empêcher.
+
+  Deux écueils symétriques. Une procédure trop lourde et le recouvrement n'aboutit jamais,
+  donc le tenant reste bloqué. Trop légère et elle devient le **chemin de moindre résistance**
+  pour contourner la signature : inutile de forger un mandat si l'on peut se faire attribuer
+  la clé. Le recouvrement doit être au moins aussi difficile que ce qu'il protège.
+
+  C'est vraisemblablement le **même mécanisme** que le changement de responsable ci-dessus :
+  dans les deux cas, quelqu'un d'extérieur à la clé atteste de l'autorité. Les registraires
+  procèdent hors bande — pièces justificatives, délai d'opposition, contact de secours déclaré
+  d'avance. Ce dernier point est le plus transposable : **un contact de secours nommé en même
+  temps que le responsable**, tant que personne n'est encore en situation d'urgence.
 - **La durée de rétention** avant purge : convenue **avec qui**, consignée **où**, et attestée
   par qui. Sur une séparation d'hébergeur, un flou ici finit en litige — c'est précisément ce
   qu'un contrat écrit d'avance évite.