Que fait fluncle-maintenance ?
Maintient à jour la chaîne d'approvisionnement épinglée/figée de Fluncle — la surveillance des dérives de version sur les pins de l'image Hermes (image de base, bun, le CLI fluncle, le CLI Claude Code), le CLI render-box de box.ascii, et les tags GitHub Actions. Expédie les mises à jour clairement sûres DE BOUT EN BOUT (modifier le pin → PR → CI vert → fusion) ; un pin de Dockerfile figé se déploie ensuite automatiquement via le minuteur fluncle-pin-watch sur la machine (rave-02) : reconstruction → pré-vérification → remplacement → restauration automatique. Freine (signale, n'expédie jamais) sur tout ce qui est risqué — une mise à jour majeure, l'image de base, ou authentification/exécution/modèle. Gère AUSSI la posture de VULNÉRABILITÉ des dépendances : les deux flux d'avis (Dependabot + le workflow CI bloquant bun-audit), la politique de sévérité, la liste blanche justifiée --ignore, et les mises à jour motivées par les vulnérabilités et ordonnancées par accessibilité. À utiliser lors de la vérification des dérives de version, de la mise à jour d'une dépendance Hermes épinglée, du jugement de la sécurité d'une mise à jour d'image de base / CLI / tag d'actions, du SHA-pinning des actions de workflow, de la fusion d'une mise à jour sûre, ou du tri d'un avis de sécurité ou des résultats de bun-audit.