docs : les dates du registre étaient déduites, pas vérifiées

Les trois dates de « décisions renversées » avaient été estimées.
L'historique les corrige : ACL et routage sur commutateur remontent au
2026-07-07 (`make devis-reseau`), pas au 29 juillet ; l'underlay gitignoré au
2026-07-24, pas au 31.

Un registre qui invente une date perd la confiance qu'on lui accorde sur le
reste. Chaque renversement cite maintenant le commit qui l'a opéré —
vérifiable en une commande.

Ajouté : qui décide. Toutes ces décisions sont celles de l'opérateur du
dépôt, plusieurs prises sur recommandation ; l'assistance propose et
argumente, elle ne tranche pas. La distinction compte pour la suite : une
décision se renverse par celui qui l'a prise, et savoir qu'elle a été choisie
plutôt qu'héritée change ce qu'on s'autorise à en faire.

Non corrigé : le renvoi de D-07. `frontiere-opnsense.md` §1 porte bien un
titre explicite « Décision (2026-08-02) : pas d'ACL sur cette fabric » — ma
réserve était infondée.

Preuves : 24 OK, 0 échec.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

CHANGELOG.md

@@ -27,6 +27,18 @@ fabric peut en être capable.
 Les 30 renvois internes du registre ont été vérifiés : aucun document ni aucune section citée
 n'est introuvable.
 
+### Corrigé le jour même — des dates déduites plutôt que vérifiées
+Les trois dates de la section « décisions renversées » avaient été **estimées**. L'historique
+git les corrige : les ACL et le routage sur commutateur remontent au `2026-07-07`
+(`make devis-reseau`), pas au 29 juillet ; l'underlay gitignoré au `2026-07-24`, pas au 31.
+
+Un registre qui invente une date perd la confiance qu'on lui accorde sur le reste. Chaque
+renversement cite désormais **le commit qui l'a opéré**, donc vérifiable en une commande.
+
+Ajouté aussi : **qui décide**. Toutes ces décisions sont celles de l'opérateur du dépôt,
+plusieurs prises sur recommandation — l'assistance propose et argumente, elle ne tranche pas.
+La distinction compte : une décision se renverse par celui qui l'a prise.
+
 ## 2026-08-03 (suite 3) — les preuves réseau sont rattachées à de vraies affirmations
 
 Trois preuves — **P21**, **P23**, **P24** — renvoyaient à `AFF-001`, qui affirme que *« Set-OPS

docs/decisions-architecture.md

@@ -10,6 +10,14 @@
 affirmations prouvables (`docs/audit/affirmations.md`). Une décision peut n'être gardée par
 aucune preuve : elle reste une décision.
 
+**Qui décide.** Toutes ces décisions sont celles de l'opérateur du dépôt. Plusieurs ont été
+prises sur recommandation — l'assistance propose et argumente, elle ne tranche pas. La
+distinction compte pour la suite : une décision se renverse par celui qui l'a prise, et savoir
+qu'elle a été *choisie* plutôt que *héritée* change ce qu'on s'autorise à en faire.
+
+Les dates de la §5 sont celles de l'**historique git**, pas du moment de la conversation : ce
+sont les seules vérifiables.
+
 ---
 
 ## 1. Le réseau
@@ -67,11 +75,11 @@ aucune preuve : elle reste une décision.
 Les garder évite de refaire le chemin, et explique pourquoi le code porte encore des branches
 qui semblent inutiles.
 
-| Décision | Tenue du … au … | Pourquoi renversée | Ce qu'il en reste |
-|---|---|---|---|
-| L'isolation inter-tenant est portée par des **ACL de commutateur** | 2026-07-29 → 08-02 | le matériel ne sait pas lier une ACL à une interface de routage | `acl_inter_tenant: true` reste le défaut : une autre fabric peut en être capable |
-| Le **routage inter-zone** est porté par les commutateurs L3 | 2026-07-29 → 08-02 | sans ACL, l'isolation devenait déclarative ; EVPN la rend structurelle | `routage_tenants: switch` reste le défaut et reste généré |
-| L'`underlay.yml` vit à la racine du moteur, gitignoré | 2026-07-31 → 08-02 | consommé par deux générateurs, validé par une preuve, versionné nulle part | `SETOPS_UNDERLAY` permet toujours de le pointer ailleurs |
+| Décision | Tenue du … au … | Renversée par | Pourquoi | Ce qu'il en reste |
+|---|---|---|---|---|
+| L'isolation inter-tenant est portée par des **ACL de commutateur** | 2026-07-07 → 08-03 | `059d76a` | le matériel ne sait pas lier une ACL à une interface de routage | `acl_inter_tenant: true` reste le défaut : une autre fabric peut en être capable |
+| Le **routage inter-zone** est porté par les commutateurs L3 | 2026-07-07 → 08-03 | `e5ce2b9` | sans ACL, l'isolation devenait déclarative ; EVPN la rend structurelle | `routage_tenants: switch` reste le défaut et reste généré |
+| L'`underlay.yml` vit à la racine du moteur, gitignoré | 2026-07-24 → 08-02 | `0eae97c` | consommé par deux générateurs, validé par une preuve, versionné nulle part | `SETOPS_UNDERLAY` permet toujours de le pointer ailleurs |
 
 > **Ce que ces renversements ont en commun.** Aucun ne vient d'un changement d'avis : les trois
 > viennent d'un fait découvert **après** la décision — une commande absente de l'aide du