ci(release): publish idempotent via tolérance 409 + SBOM non-bloquant

Le pré-check `npm view` était un signal non fiable contre le registre npm de
Gitea (faux négatif masqué par >/dev/null) : le publish s'exécutait malgré une
version déjà présente et échouait en 409 Conflict, faisant rougir la release
alors que l'artefact était bien publié.

On tente désormais toujours `npm publish` et on traite son 409 « already exists »
— le signal faisant autorité — comme un succès idempotent ; tout autre échec
reste fatal. L'étape est isolée dans la condition d'un `if` pour ne pas
déclencher le `set -e` du shell Actions.

Le SBOM passe en continue-on-error : un bonus supply-chain ne doit jamais faire
échouer une release dont le publish a réussi.

.github/workflows/release.yml

@@ -35,23 +35,39 @@ jobs:
             exit 1
           fi
           echo "OK: tag $tag == version $pkg"
-      # Publication idempotente : skip si la version est déjà sur le registre (utile quand un tag
+      # Publication idempotente : le signal faisant autorité d'une version déjà présente est le
-      # est re-poussé). Mapper le secret du registre sur NODE_AUTH_TOKEN lu par le .npmrc de setup-node.
+      # 409 « already exists » renvoyé par npm publish lui-même (npm view est non fiable contre le
-      - name: Publish (skip if already published)
+      # registre npm de Gitea — faux négatif masqué par >/dev/null). On tente toujours le publish ;
+      # un 409 = succès idempotent, tout autre échec reste fatal. Le shell Actions tourne en
+      # `bash -eo pipefail` : on isole l'échec attendu dans la condition d'un `if` pour ne pas
+      # déclencher `set -e`. Le secret du registre est mappé sur NODE_AUTH_TOKEN lu par le .npmrc
+      # de setup-node.
+      - name: Publish (idempotent — tolère un 409 « already exists »)
         run: |
-          pkg=$(node -p "require('./packages/server/package.json').version")
+          if out="$(npm publish -w @johanleroy/git-arboretum 2>&1)"; then
-          if npm view "@johanleroy/git-arboretum@$pkg" version >/dev/null 2>&1; then
+            printf '%s\n' "$out"
-            echo "Version $pkg déjà publiée — publication ignorée."
+            echo "Publication réussie."
           else
-            npm publish -w @johanleroy/git-arboretum
+            code=$?
+            printf '%s\n' "$out"
+            if printf '%s' "$out" | grep -qiE 'E409|409 Conflict|already exists'; then
+              echo "::notice::Version déjà présente sur le registre (409) — publication idempotente, étape ignorée."
+            else
+              echo "::error::Échec de la publication (code $code)."
+              exit "$code"
+            fi
           fi
         env:
           NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}
-      # SBOM (transparence supply-chain entreprise) : généré pour le paquet publié et exposé en artefact.
+      # SBOM (transparence supply-chain entreprise) : généré pour le paquet publié et exposé en
+      # artefact. C'est un bonus : un échec de génération/upload ne doit jamais faire rougir une
+      # release dont le publish a réussi → continue-on-error.
       # upload-artifact@v3 : Gitea Actions (GHES-like) ne supporte pas @v4 (@actions/artifact v2+).
       - name: Generate SBOM (CycloneDX)
+        continue-on-error: true
         run: npx --yes @cyclonedx/cyclonedx-npm --omit dev --output-format JSON --output-file sbom.json -w @johanleroy/git-arboretum || npx --yes @cyclonedx/cyclonedx-npm --omit dev --output-format JSON --output-file sbom.json
       - uses: actions/upload-artifact@v3
+        continue-on-error: true
         with:
           name: sbom
           path: sbom.json