chore(dev): release 0.2.0

[github-actions]

🤖 I have created a release beep boop

0.2.0 (2026-09-28)

Features

• actions: actions d'opérateur signées, vérifiées et exécutées par ca-server (#17) (3c28d73)
• actions: actions signées sur le registre des opérateurs (invitation, confirmation, révocation, rôle) (#20) (255f06c)
• actions: amorçage du premier administrateur (ca-server operators bootstrap-admin) (#18) (2c7d29f)
• actions: audit de la chaîne du registre des opérateurs (operators audit) (#25) (e78b606)
• actions: double contrôle des actions sensibles (quorum de signatures) (#22) (127ceb8)
• actions: récupération de l'administrateur (recover-admin) et garde du quorum impossible (#24) (b30e8a1)
• actions: rejeu du journal, blocage du registre divergent et operators reconcile (#26) (1f58888)
• actions: révocation de certificat par action signée (revoke_certificate) (#21) (603cf44)
• ca-server: lien interne (routes, mTLS) et enregistrement de clé des opérateurs (#19) (fb1ea95)
• ca-server: réplication du journal d'audit sur un stockage S3-compatible (#49) (b72fde1)
• ca: dépôt public des certificats + marquage STAGING du staging (#10) (9329b5f)
• castore: registre des opérateurs et droits en lecture seule de ra-console (#15) (ea3a702)
• config: refus de l'OID de test en production et script de bascule vers l'arc PEN (#44) (0b26fcd)
• deploy: port interne, ConfigMap et NetworkPolicy de la CA dans le chart Helm (#23) (f0d3ea5)
• enhance mirror setup script with initial sync for all repos (b53129c)
• oe-ca-core: journal bloquant avant toute écriture durable (#42) (6d4fe5a)
• oe-raflow: journal bloquant, exception documentée pour Decider::decide (#45) (1a3b496)
• oe-s3: client S3-compatible minimal (SigV4) (#43) (a600350)
• oe-tsa-core,oe-timesource: journal bloquant, deux traits restent synchrones (#47) (4ba7ab0)
• provenance: copie hors poste de l'archive et archivages concurrents (#48) (0a3d834)
• ra-console: connexion par nom, login/begin et login/finish (1c-1) (#34) (0530043)
• ra-console: journal d'audit propre à la console (2b-A) (#41) (d3b0309)
• ra-console: lecture seule de la file d'enrôlement (2a) (#40) (357608e)
• ra-console: purge périodique des sessions et challenges expirés (1c-2b) (#39) (b451c85)
• ra-console: relais de l'enregistrement de clé vers ca-server (#29) (bb8b19f)
• ra-console: réplication best-effort du journal d'audit sur S3 (#50) (de7ff68)
• ra-console: sessions, cookie, /api/v1/me et déconnexion (1c-2a) (#37) (0abcb28)
• ra-console: squelette de la console (lien mTLS, garde du rôle PostgreSQL, healthz) (#28) (566e04d)
• tsa: CORS configurable pour l'API HTTP, activé pour demo.open-eidas.eu (#7) (2d97c3c)
• webauthn: vérification WebAuthn des opérateurs (oe-webauthn) (#16) (d2110d8)

Bug Fixes

• ca-server: commandes d'exploitation sans secret de HSM, et garde de CI contre les tests PostgreSQL ignorés (#27) (59bd6fc)
• ca-server: recover-admin, audit et reconcile sur Config::load_without_hsm (#33) (a50318e)
• chart: ajoute fsGroup aux pods ca/tsa/ocsp pour SoftHSM (cf00ec6)
• chart: ajoute fsGroup aux pods ca/tsa/ocsp pour SoftHSM (c4f8a71)
• corrige des vulnérabilités HIGH introduites par l'ajout de golang.org/x/crypto/ocsp (5c5dabc)
• corrige une vulnérabilité CRITICAL golang.org/x/crypto (CVE-2026-56854) (91fac96)
• images: applique les correctifs de sécurité Debian au build (83b0f72)
• images: applique les correctifs de sécurité Debian au build (e95781c)
• images: invalide le cache apt-get une fois par jour (CACHEBUST) (fd40e43)
• probes k8s trop strictes + budget d'attente CI insuffisant (0738b16)
• ra-console: ne plus lier cryptoki (feature pkcs11 d'oe-hsm) (#30) (9f1f0b9)
• tsa: numéro de série du jeton en DER minimal (1 jeton sur 512 était rejeté) (#31) (3a9e2e2)
• tsa: restreint vraiment le CORS à l'origine configurée (#8) (5a7acf1)
• valide la longueur du PIN SoftHSM (4-255) au lieu de bloquer sur une invite (81decf3)

---

This PR was generated with Release Please. See documentation.