ci: la matrice SDK cible 6.0/7.0/8.0-preview (tous EOL) — main rouge depuis 2025-12, 10 PRs dependabot en heritent #69

Constat

main échoue en continu depuis 2025-12 (dernier dotnet-ci vert antérieur ; runs schedule des 23→27/12 tous failure, idem Python Integration Tests). Les six jobs qui tombent sont exactement les six branches de la matrice SDK :

failure  build-and-test-docker  (ubuntu-latest, 6.0, Debug)
failure  build-and-test-docker  (ubuntu-latest, 6.0, Release)
failure  build-and-test-docker  (ubuntu-latest, 7.0, Release)
failure  build-and-test-docker  (ubuntu-latest, 8.0-preview, Release)
failure  build-and-test-windows (windows-latest, Debug, 7.0.x)
failure  build-and-test-windows (windows-latest, Release, 7.0.x)

.github/workflows/dotnet-ci.yml l.22-25 et l.71 :

Aucune branche de la matrice ne cible un SDK supporté. Le dépôt parent (CoursIA) est sur .NET 9.0.

Conséquence — c'est un défaut structurel, pas dix négligences

Ce dépôt porte 13 PRs ouvertes, dont 10 dependabot ouvertes entre 2025-05-25 et 2025-10-27 — jusqu'à 15 mois. Leur rouge n'est pas le leur : il est celui de main, qu'elles héritent. Les traiter une à une comme des PRs à réparer serait s'attaquer au symptôme.

Mesuré PR par PR :

Une part de ces bumps est la réparation, pas un risque : actions/cache@v3 et actions/upload-artifact@v3 sont retirés du service par GitHub depuis début 2025 — les laisser dormir garantit un rouge de plus qui n'a rien à voir avec le code.

Ce qui est demandé

1. Moderniser la matrice SDK vers des versions supportées (8.0 LTS + 9.0), retirer 8.0-preview et 6.0/7.0. C'est le geste qui rend un vert de nouveau lisible.
2. Une fois main vert : reprendre les bumps GitHub-Actions (build(deps): bump actions/setup-python from 4 to 6 #59, build(deps): bump github/codeql-action from 2 to 4 #61, build(deps): bump actions/upload-artifact from 3 to 5 #62) — vérifiables sans build.
3. Puis les bumps NuGet (Bump coverlet.collector and 14 others #54, Bump Microsoft.CodeAnalysis.NetAnalyzers from 8.0.0-preview.23472.1 to 9.0.0 #55, Bump Microsoft.NET.Test.Sdk from 17.8.0 to 17.13.0 #56, Bump coverlet.collector from 6.0.0 to 6.0.4 #57, Bump Microsoft.CodeAnalysis.Analyzers from 3.11.0-beta1.23472.1 to 3.11.0 #60), qui exigent un build fonctionnel pour être validés. Les merger avant la réparation reviendrait à les accepter sans preuve.

Acceptance

• dotnet-ci vert sur main, sur au moins une branche de matrice à SDK supporté.
• La matrice ne référence plus aucun SDK EOL.
• Les 8 dependabot restantes disposées explicitement : mergées, ou fermées avec le motif écrit.

Provenance

Passe de coordination du parent (CoursIA), sous la règle submodule-maintenance HARD 3 — « l'absence de gate est le défaut, pas les PRs qui dorment ». Le second défaut structurel du dépôt, upgrade-sk en racine disjointe de main (404 No common ancestor, bloquant #64/#65/#66), est traité séparément.