CI : épingler les actions sur leur tag de version complète #95

Part of #91

Les trois actions de ci.yml passent de leur tag de majeure à leur tag de version complète. Le tag v6 de pnpm/action-setup pointe encore sur une version antérieure à la prise en charge de pnpm 12.

Décisions

Prises par Gilles le 2026-10-25, au grilling de #56 (Q8 ; CLAUDE.md, Dependencies, posé par la PR de docs de #56).

• actions/checkout@v7.0.1, pnpm/action-setup@v6.1.0 et actions/setup-node@v7.1.0. Un tag de version complète se lit sans commentaire, et chaque montée se voit dans le diff.
• On épinglera par SHA quand un job recevra un secret, ce que CI : grilling de la CI et des environnements #57 décidera pour la suite de contrat.
• La session mensuelle (Outillage : écrire le skill update-dependencies et faire la première montée #97) fait monter les actions, par pnpm outdated --include-github-actions.

Faits vérifiés

• [F] ci.yml utilise actions/checkout@v7, pnpm/action-setup@v6 et actions/setup-node@v7 (ff62d73). Leurs dernières versions sont v7.0.1, v6.1.0 et v7.1.0 (gh api repos/<dépôt>/releases/latest, 2026-10-25).
• [F] Le tag v6 de pnpm/action-setup pointe sur 0977fd9, la v6.0.10, et non sur la v6.1.0 (ea17c68, « feat: support pnpm v12 », feat: support pnpm v12 pnpm/action-setup#288). L'issue Stale v6 tag pnpm/action-setup#289, « Stale v6 tag », est ouverte (2026-10-25).
• [F] Au run 40124210901, la v6.0.10 installe pnpm 11.19.0, passe à 12.9.1, puis écrit [WARN] Detected a pnpm v10 installation layout (gh run view 40124210901 --log).

Inférences

• [I] La v6.1.0 installe directement pnpm 12, sans passer par la bascule qui écrit le [WARN] (v6.0.9: false-positive "v10 installation layout" warning when self-updating from bootstrap 11.7.0 (still reproduces with pnpm 11.19.0) pnpm/action-setup#281). Non essayé.

Terminé quand

• ci.yml porte les trois tags de version complète.
• Le log d'un run de CI ne contient plus le [WARN], ou le ticket dit pourquoi il reste.
• ci.yml tourne sur runs-on: ubuntu-24.04, et non plus sur ubuntu-latest (CLAUDE.md, Delivery, CI).
• The runner, dans CLAUDE.md (Warnings), ne cite plus que ce qui reste.

Hors périmètre

• L'épinglage par SHA : CI : lancer la suite de contrat sur les PR de src/discord/ et chaque semaine #102, pour les seules actions de contract.yml.