secrets: afficher/masquer + copier la valeur, revelation gestionnaire auditee (og/COFFRE-contrat-distribution.md)

docs/COFFRE-contrat-distribution.md

@@ -73,6 +73,16 @@ configurée (sinon 503 `kek_absente`).
   SSO : une session utilisateur, même admin, ne distribue jamais
   (401 `consommateur_invalide`). Il n'existe pas d'endpoint de
   distribution par session (voir §6).
+- Révélation manuelle (panneau détail, hors distribution) : `POST
+  /api/coffres/{slug}/secrets/{nom}/reveler` rend la valeur au
+  gestionnaire du coffre authentifié par sa session (propriétaire,
+  ou admin sur coffre d'instance), pour l'afficher ou la copier.
+  Ce n'est pas une distribution : aucun octroi n'est créé, aucun
+  consommateur ne reçoit la valeur, chaque révélation est auditée
+  (`revelation_manuelle`) et met à jour la dernière utilisation.
+  Un lecteur par octroi utilisateur (métadonnées visibles) reçoit
+  403. L'ancienne copie manuelle par consommateur temporaire a
+  été supprimée (elle échouait : 403 octroi_absent).
 - Ajouter une app = enregistrer un consommateur + créer des octrois,
   **sans modification du coffre** et sans toucher à ses secrets.