config

type ACP struct {
	AcceptEditorMCP bool `toml:"accept_editor_mcp"`
}

type Audit struct {
	Level     string          `toml:"level"`
	Timestamp *AuditTimestamp `toml:"timestamp"` // globale uniquement
}

type AuditTimestamp struct {
	URL    string `toml:"url"`
	CAFile string `toml:"ca_file"`
	CAPEM  []byte `toml:"-"`
}

type Budget struct {
	SessionTokens int64   `toml:"session_tokens"`
	WarnAt        float64 `toml:"warn_at"`
}

type CRA struct {
	OSVMirror string `toml:"osv_mirror"`
}

type Checkpoints struct {
	RetentionDays int `toml:"retention_days"`
}

type Classification struct {
	Paths   []string `toml:"paths"`
	Markers []string `toml:"markers"`
}

type Config struct {
	Lang            string   `toml:"lang"`
	DefaultProvider string   `toml:"default_provider"`
	MaxIterations   int      `toml:"max_iterations"`
	ShellTimeout    Duration `toml:"shell_timeout"`
	OutputLimit     int      `toml:"output_limit"`
	// CompactionThreshold : part de la fenêtre de contexte au-delà de
	// laquelle l'historique est compacté. Clé globale uniquement.
	CompactionThreshold float64     `toml:"compaction_threshold"`
	Audit               Audit       `toml:"audit"`
	Providers           []Provider  `toml:"providers"`
	Permissions         Permissions `toml:"permissions"`
	Redaction           Redaction   `toml:"redaction"`
	// MCP : serveurs MCP. Clé globale uniquement (un serveur stdio est une
	// exécution de code arbitraire : un dépôt ne peut pas en déclarer).
	MCP MCP `toml:"mcp"`
	// Hooks : réglages des hooks. Clé globale uniquement (un hook est une
	// exécution de code arbitraire : un dépôt ne peut pas les activer).
	Hooks Hooks `toml:"hooks"`
	// Checkpoints : copies des fichiers avant écriture (/rewind). Clé globale
	// uniquement.
	Checkpoints Checkpoints `toml:"checkpoints"`
	// Sandbox : confinement des commandes shell. Mode effectif et listes
	// fusionnées (chemins développés) après Load ; write est global uniquement.
	Sandbox Sandbox `toml:"sandbox"`
	// Classification : chemins et marqueurs sensibles, union global + projet
	// + politique après Load.
	Classification Classification `toml:"classification"`
	// Routing : acheminement des sessions sensibles. Clé globale uniquement.
	Routing Routing `toml:"routing"`
	// Budget : plafond de tokens par session. Effectif après Load : le plus
	// bas du global, du projet et de la politique.
	Budget Budget `toml:"budget"`
	// Memory : mémoire gouvernée. Effectif après Load : le plus strict du
	// global, du projet et de la politique.
	Memory Memory `toml:"memory"`
	// MemoryDisabledBy : "policy" si la politique coupe la mémoire, sinon
	// "config" si le global ou le projet la coupe, sinon "".
	MemoryDisabledBy string `toml:"-"`
	// Usage : facteurs énergie et CO₂ déclarés. Clé globale uniquement.
	Usage Usage `toml:"usage"`
	// ACP : [acp], tenon comme agent d'éditeur. Clé globale uniquement.
	ACP ACP `toml:"acp"`
	// CRA : assistant Cyber Resilience Act. Clé globale uniquement.
	CRA CRA `toml:"cra"`

	// Profile : profil de conformité effectif après Load (le plus strict du
	// global et du projet). Le projet peut seulement le durcir.
	Profile profile.Name `toml:"profile"`
	// WeakerProjectProfile : valeur projet ignorée car plus faible que le
	// profil global. Jamais lue depuis le TOML ; le CLI en tire un avis.
	WeakerProjectProfile profile.Name `toml:"-"`

	// Allowlist : liste blanche d'hôtes de fournisseurs de la config globale
	// (nil si absente). ProjectAllowlist : celle du projet, qui ne peut que
	// restreindre (les listes présentes s'appliquent toutes).
	Allowlist        *ProviderAllowlist `toml:"provider_allowlist"`
	ProjectAllowlist *ProviderAllowlist `toml:"-"`

	// Policy : politique d'organisation appliquée (nil si aucune). Posée par
	// ApplyPolicy, jamais lue depuis le TOML.
	Policy *orgpolicy.Policy `toml:"-"`
	// Avis produits par ApplyPolicy, jamais lus depuis le TOML.
	PolicyOverriddenProviders []string     `toml:"-"` // fournisseurs de la config remplacés par la politique
	PolicyAuditFrom           string       `toml:"-"` // niveau d'audit remplacé ("" si inchangé)
	PolicyTimestampImposed    bool         `toml:"-"` // horodatage de la config remplacé par la politique
	PolicyRoutingLocal        string       `toml:"-"` // fournisseur local imposé par la politique ("" si inchangé)
	PolicyRaisedProfile       profile.Name `toml:"-"` // profil de la config relevé par la politique
	// PolicyStrippedQualifications : identifiants (triés) dont les
	// qualifications de la config ont été retirées par la politique.
	PolicyStrippedQualifications []string `toml:"-"`
	// contains filtered or unexported fields
}

type Duration struct{ time.Duration }

type Hooks struct {
	ClaudeSettings bool `toml:"claude_settings"` // lit aussi ~/.claude/settings.json
	Disabled       bool `toml:"disabled"`        // ne charge aucun hook
}

type MCP struct {
	Servers []MCPServer `toml:"servers"`
}

type MCPServer struct {
	ID           string   `toml:"id"`           // [a-z0-9_-]{1,32}
	Transport    string   `toml:"transport"`    // "stdio" | "http"
	Command      []string `toml:"command"`      // stdio : argv, non vide
	EnvFrom      []string `toml:"env_from"`     // stdio : variables transmises au serveur
	URL          string   `toml:"url"`          // http : https://… (http:// seulement vers localhost/127.0.0.1/::1)
	BearerEnv    string   `toml:"bearer_env"`   // http : variable contenant le jeton
	Jurisdiction string   `toml:"jurisdiction"` // "eu" | "non-eu" | "local"
	Country      string   `toml:"country"`
	Risk         string   `toml:"risk"`  // "" | "read" | "write" | "exec" | "network"
	Tools        []string `toml:"tools"` // liste blanche optionnelle des outils exposés
	Disabled     bool     `toml:"disabled"`
	// Qualifications : qualifications déclarées (« secnumcloud »). Déclaratif,
	// jamais vérifié ; ignoré sous politique d'organisation.
	Qualifications []string `toml:"qualifications"`
}

type Memory struct {
	Enabled       *bool `toml:"enabled"`
	Project       *bool `toml:"project"`
	RetentionDays int   `toml:"retention_days"`
}

type Permissions struct {
	Rules []Rule `toml:"rules"`
}

type Provider struct {
	ID            string `toml:"id"`
	Name          string `toml:"name"`
	BaseURL       string `toml:"base_url"`
	APIKeyEnv     string `toml:"api_key_env"`
	Model         string `toml:"model"`
	Country       string `toml:"country"`
	Jurisdiction  string `toml:"jurisdiction"`
	ContextWindow int    `toml:"context_window"`
	// Detect : "ollama" ou "vllm" pour interroger le serveur au démarrage
	// (modèle servi, fenêtre appliquée) quand model ou context_window est
	// vide ; "off" désactive la détection héritée d'un préréglage.
	Detect string `toml:"detect"`
	// Qualifications : qualifications déclarées (« secnumcloud »). Déclaratif,
	// jamais vérifié ; ignoré sous politique d'organisation (sauf define).
	Qualifications []string `toml:"qualifications"`
	// StreamUsage : false n'envoie pas stream_options.include_usage ; absent
	// : vrai (l'usage réel est demandé au fournisseur).
	StreamUsage *bool `toml:"stream_usage"`
}

type ProviderAllowlist struct {
	Hosts []string `toml:"hosts"`
	Local bool     `toml:"local"`
}

type Redaction struct {
	Rules []RedactionRule `toml:"rules"`
}

type RedactionRule struct {
	Name    string `toml:"name"`
	Pattern string `toml:"pattern"`
}

type Routing struct {
	Local    string   `toml:"local"`
	Fallback []string `toml:"fallback"`
	// Compaction et Subagents : fournisseur des appels de compaction et des
	// sous-agents ("" = fournisseur de la session).
	Compaction string `toml:"compaction"`
	Subagents  string `toml:"subagents"`
}

type Rule struct {
	Tool     string `toml:"tool"`
	Match    string `toml:"match"`
	Decision string `toml:"decision"`
	Project  bool   `toml:"-"`
	Policy   bool   `toml:"-"` // règle imposée par la politique d'organisation
	// Network : la commande shell correspondante s'exécute avec réseau
	// (allow ou ask ; jamais en config projet ni en politique).
	Network bool `toml:"network"`
}

type Sandbox struct {
	Mode     string   `toml:"mode"`
	Write    []string `toml:"write"`
	DenyRead []string `toml:"deny_read"`
}

type Usage struct {
	WhPerMTok  float64 `toml:"wh_per_mtoken"`
	GCO2PerKWh float64 `toml:"gco2_per_kwh"`
}